CVE-2026-82042
Açıklama
11.2.16 sürümünden önceki UTMStack, uzak saldırganların INTERNAL_KEY ortam değişkeni değeriyle eşleşen geçerli bir Utm-Internal-Key başlığı sunarak tam yönetici API erişimi elde etmelerine olanak tanıyan bir kimlik doğrulama atlatma zafiyeti içermektedir; InternalApiKeyFilter bu başlığı herhangi bir yol kısıtlaması, sabit zamanlı karşılaştırma, hız sınırlaması veya denetim günlüğü olmaksızın tüm uç noktalar için kabul etmektedir. Anahtar değerini elde eden saldırganlar, hesap oluşturmak, kullanıcıları yönetmek, veri sızdırmak ve güvenlik kurallarını değiştirmek için bir kullanıcı hesabı veya JWT olmadan kimlik doğrulaması yapabilirler.
Nasıl düzeltilir
- UTMStack UTMStack11.2.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| UTMStack UTMStack | v < 11.2.16 | 11.2.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.