CVE-2026-82045

Nome do Software Vulnerável e Versões Afetadas UTMStack versões anteriores a 11.2.16

Description Atacantes autenticados podem ler dados arbitrários de entidades explorando uma falha de injeção de JPQL. A vulnerabilidade reside na função UtmNetworkScanService.searchPropertyValues(), que constrói uma consulta JPQL usando String.format() e a executa via em.createQuery() sem a vinculação adequada de parâmetros. Ao enviar JPQL malicioso através do parâmetro value no endpoint 'GET /api/utm-network-scans/searchPropertyValues', atacantes podem extrair informações sensíveis, incluindo tabelas de credenciais como jhi user. JPQL (Java Persistence Query Language) é uma linguagem de consulta orientada a objetos usada para realizar operações de banco de dados em entidades.

Recommendations Atualize o UTMStack para a versão 11.2.16 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'GET /api/utm-network-scans/searchPropertyValues' ou evite usar o parâmetro value até que a atualização seja aplicada.