CVE-2026-61498
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
W Vitec Flamingo 4.12.2 w punkcie końcowym admin/ajax/gen_graphs.php występuje nieuwierzytelniona podatność na wstrzykiwanie poleceń systemu operacyjnego. Atakujący może zdalnie wykonać dowolne polecenia, przekazując znaki specjalne powłoki w parametrach HTTP GET (start, end, key, format). Brak sanityzacji danych wejściowych powoduje, że wartości są przekazywane bezpośrednio do funkcji passthru(), co umożliwia wykonanie poleceń z uprawnieniami roota.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub przerwania działania usług.
Rekomendacja
Należy natychmiast zaktualizować Vitec Flamingo do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji należy ograniczyć dostęp do punktu końcowego admin/ajax/gen_graphs.php tylko dla zaufanych adresów IP oraz zastosować filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Vitec Flamingo 4.12.2 contains an unauthenticated OS command injection vulnerability in the admin/ajax/gen_graphs.php endpoint that allows remote unauthenticated attackers to execute arbitrary commands by supplying shell metacharacters in the start, end, key, or format HTTP GET parameters. Attackers can exploit the lack of input sanitization in the graph generation script, which passes user-supplied values directly to shell commands via passthru(), to execute arbitrary OS commands with root privileges due to the web server context having passwordless sudo access.