CVE-2026-82042

Nome do Software Vulnerável e Versões Afetadas UTMStack versões anteriores a 11.2.16

Description Existe uma falha de bypass de autenticação que permite que atacantes remotos obtenham acesso administrativo total à API. Isso ocorre porque o InternalApiKeyFilter aceita um cabeçalho Utm-Internal-Key válido que corresponda ao valor da variável de ambiente INTERNAL KEY para qualquer endpoint. A implementação carece de restrições de caminho, comparação de tempo constante, limitação de taxa e registro de auditoria. Atacantes que possuam essa chave podem autenticar-se sem a necessidade de uma conta de usuário ou JSON Web Tokens (JWT) para criar contas, gerenciar usuários, exfiltrar dados e modificar regras de segurança.

Recommendations Atualize o UTMStack para a versão 11.2.16 ou posterior.