PT-2026-57817 · Vitec · Vitec Flamingo

Adam Outikni + 1 · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-61498

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vitec Flamingo versão 4.12.2

Description Uma injeção de comando de SO não autenticada existe no endpoint 'admin/ajax/gen graphs.php'. Atacantes remotos podem executar comandos arbitrários com privilégios de root ao fornecer metacaracteres de shell através dos parâmetros HTTP GET start, end, key ou format. Isso ocorre porque o script de geração de gráficos não sanitiza a entrada antes de passá-la para comandos de shell via a função passthru(), e o contexto do servidor web possui acesso sudo sem senha.

Recommendations Atualize o Vitec Flamingo versão 4.12.2 para uma versão corrigida. Como medida paliativa temporária, restrinja o acesso ao endpoint 'admin/ajax/gen graphs.php'.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-61498

Produtos afetados

Vitec Flamingo

Referências · 9

• 🔥 https://damiri.fr/en/cve/CVE-2026-61498 · Exploit
• https://twitter.com/VulmonFeeds/status/2076737142684872864 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2076722750203297845 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2076713285823435002 · Publicação no Twitter
• https://twitter.com/SecurityAr58409/status/2076714056816185841 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2076723642453422088 · Publicação no Twitter
• https://vulncheck.com/advisories/vitec-flamingo-unauthenticated-os-command-injection-via-gen-graphs-php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-61498 · Nota de Segurança
• https://vitec.com/solutions/iptv-distribution · Nota