PT-2026-57816 · Vitec · Vitec Flamingo

Adam Outikni + 1 · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-60121

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vitec Flamingo versão 4.12.2

Description Uma injeção de comando de SO não autenticada existe no endpoint 'admin/ajax/ping.php'. Este problema decorre de uma falha de dupla avaliação no tratamento de argumentos do shell, onde o parâmetro POST host é processado usando escapeshellarg(), mas é subsequentemente recuperado e passado para uma segunda chamada shell exec() sem a devida filtragem. Isso permite que atacantes remotos executem comandos arbitrários com privilégios de root via sudo sem senha.

Recommendations Atualize o Vitec Flamingo versão 4.12.2 para uma versão corrigida. Como mitigação temporária, restrinja o acesso ao endpoint 'admin/ajax/ping.php' ou evite usar o parâmetro host até que uma correção seja aplicada.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-60121

Produtos afetados

Vitec Flamingo

Referências · 8

• 🔥 https://damiri.fr/en/cve/CVE-2026-60121 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-60121 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2076675526786175136 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2076742265058308341 · Publicação no Twitter
• https://vitec.com/solutions/iptv-distribution · Nota
• https://vulncheck.com/advisories/vitec-flamingo-unauthenticated-os-command-injection-via-ping-php · Nota
• https://twitter.com/CVEnew/status/2076722751881032182 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2076723658844774889 · Publicação no Twitter