CVE-2026-82045
Açıklama
11.2.16 sürümü öncesindeki UTMStack, kimliği doğrulanmış saldırganların, String.format() ile bir JPQL sorgusu oluşturan ve bunu parametre bağlama işlemi yapmadan em.createQuery() aracılığıyla çalıştıran UtmNetworkScanService.searchPropertyValues() fonksiyonunu istismar ederek rastgele varlık verilerini okumasına izin veren bir JPQL injection zafiyeti içermektedir. Saldırganlar, jhi_user gibi kimlik bilgisi tabloları da dahil olmak üzere hassas verileri çıkarmak için GET /api/utm-network-scans/searchPropertyValues uç noktasındaki value parametresi üzerinden kötü amaçlı JPQL enjekte edebilirler.
Nasıl düzeltilir
- UTMStack UTMStack11.2.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| UTMStack UTMStack | v < 11.2.16 | 11.2.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.