CVE-2026-82041 · CVSS 9.9 · UTMStack before 11.2.16 contains a missing authorization vulnerability in UTMIncidentCommandWebsocket.processCommand(), the handler mapped …

NVD (CVSS crítico) · 2 oct, 23:16

UTMStack versiones anteriores a 11.2.16 contiene una vulnerabilidad de autorización faltante en UTMIncidentCommandWebsocket.processCommand() que permite a cualquier usuario autenticado, sin importar su rol, ejecutar comandos arbitrarios del sistema operativo en cualquier agente conectado a través de gRPC, resultando en ejecución de código en los puntos finales monitoreados donde los procesos del agente típicamente se ejecutan como root o SYSTEM.