CVE-2026-60121
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W Vitec Flamingo 4.12.2 w punkcie końcowym admin/ajax/ping.php występuje nieuwierzytelniona podatność na wstrzykiwanie poleceń systemu operacyjnego. Błąd wynika z podwójnej oceny argumentów powłoki: funkcja escapeshellarg() jest stosowana do parametru host, ale wrapper systemowy pobiera zdekodowaną wartość z argv i przekazuje ją do drugiego wywołania shell_exec() bez odpowiedniego oczyszczania.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia z uprawnieniami roota (przez sudo bez hasła), co prowadzi do całkowitego przejęcia serwera, kradzieży danych lub przerwania działania usługi.
Rekomendacja
Należy natychmiast zaktualizować Vitec Flamingo do wersji, w której usunięto tę podatność, lub tymczasowo wyłączyć dostęp do punktu końcowego admin/ajax/ping.php dla niezaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
Vitec Flamingo 4.12.2 contains an unauthenticated OS command injection vulnerability in the admin/ajax/ping.php endpoint that allows remote attackers to execute arbitrary commands by exploiting a double-evaluation flaw in shell argument handling. The endpoint applies escapeshellarg() to the user-supplied host POST parameter before passing it to a system wrapper, but the wrapper retrieves the decoded value from argv and incorporates it into a second shell_exec() call without escaping, allowing injected commands to execute with root privileges via passwordless sudo.