CVE-2026-60121

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 3.3%
CWE: CWE-78
KEV Durumu: Hayır

Yayım tarihi: 13 Temmuz 2026

Etkilenen: vitec flamingo

Vitec Flamingo 4.12.2, admin/ajax/ping.php endpointinde kimlik doğrulaması gerektirmeyen bir işletim sistemi komut enjeksiyon zafiyeti içerir ve bu, kabuk argüman işlemede çift değerlendirmeye ilişkin bir kusurdan yararlanarak uzak saldırganların keyfi komutları çalıştırmasına olanak tanır. Endpoint, kullanıcı tarafından sağlanan host POST parametresine escapeshellarg() uygulayarak sistem sarmalayıcısına geçirir, ancak sarmalayıcı argv'den decoded değeri alır ve ikinci bir shell_exec() çağırısına dahil eder, ancak kaçış olmadan, bu da enjekte edilen komutların parolasız sudo aracılığıyla kök ayrıcalıklarıyla çalıştırılmasına olanak tanır.

Orijinal açıklama (İngilizce)

Vitec Flamingo 4.12.2 contains an unauthenticated OS command injection vulnerability in the admin/ajax/ping.php endpoint that allows remote attackers to execute arbitrary commands by exploiting a double-evaluation flaw in shell argument handling. The endpoint applies escapeshellarg() to the user-supplied host POST parameter before passing it to a system wrapper, but the wrapper retrieves the decoded value from argv and incorporates it into a second shell_exec() call without escaping, allowing injected commands to execute with root privileges via passwordless sudo.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.