CVE-2026-82042 · CVSS 9.8 · UTMStack before 11.2.16 contains an authentication bypass vulnerability that allows remote attackers to gain full administrative API access …

NVD (CVSS crítico) · 2 oct, 23:16

UTMStack anterior a la versión 11.2.16 contiene un bypass de autenticación que permite a atacantes remotos obtener acceso administrativo completo a la API presentando una cabecera Utm-Internal-Key válida. Los atacantes que conocen el valor de la clave pueden autenticarse sin cuenta de usuario o JWT para crear cuentas, gestionar usuarios, exfiltrar datos y modificar reglas de seguridad.