CVE-2026-82041

Nome do Software Vulnerável e Versões Afetadas UTMStack versões anteriores a 11.2.16

Description Uma falha de autorização existe na função UTMIncidentCommandWebsocket.processCommand(), que gerencia o destino STOMP '/command/{hostname}'. O sistema não realiza verificações de função nem aplica uma lista de permissões de comandos antes do encaminhamento das instruções. Consequentemente, qualquer usuário autenticado pode enviar comandos arbitrários do sistema operacional via gRPC para qualquer agente conectado, resultando na execução de comandos em endpoints monitorados onde os processos do agente geralmente operam com privilégios de root ou SYSTEM.

Recommendations Atualize para a versão 11.2.16. Rotacione a INTERNAL KEY.