SQL Injection in UTMStack (CVE-2026-82039)
Summary
SQL injection in UTMStack (CVE-2026-82039). Successful exploitation can lead to full system takeover. Exploitable via GET /api/utm-asset-groups/searchGroupsByFilter.
Original description
The description as published by the source.
UTMStack before 11.2.16 contains a SQL injection vulnerability in UtmAssetGroupService.searchQueryBuilder() that allows authenticated attackers to inject arbitrary SQL by supplying malicious assetType and groupName values that are inserted unsanitized into a native PostgreSQL query via String.format(). Attackers can exploit the GET /api/utm-asset-groups/searchGroupsByFilter endpoint to execute arbitrary SQL with DBA privileges, enabling full database read, data modification, and potential filesystem access.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
UTMStackのバージョン11.2.16未満には、認証された攻撃者がSQLインジェクションを利用して任意のSQLを実行できる脆弱性があります。この脆弱性により、データベースの全部読み取りやデータ修正が可能になり、ファイルシステムへのアクセスも招く可能性があります。
UTMStackのSQLインジェクション脆弱性
UtmAssetGroupService.searchQueryBuilder()で発生
任意のSQLを実行可能で、DBA権限でのデータベースアクセス、データ変更、ファイルシステムアクセスの可能性があるため重大
バージョン11.2.16にアップデートし、サニタイズ処理を強化する
入力データの検証・サニタイズを手動で実施
GET /api/utm-asset-groups/searchGroupsByFilter エンドポイントで不審なSQL操作を監視
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com