Adam Outikni

**Nome do Software Vulnerável e Versões Afetadas** Vitec Flamingo versão 4.12.2 **Description** Uma injeção de comando de SO não autenticada existe devido a uma falha de dupla avaliação no tratamento de argumentos do shell. O endpoint 'admin/ajax/ping.php' processa o parâmetro POST `host` usando a função `escapeshellarg()` antes de passá-lo para um wrapper de sistema. No entanto, o wrapper recupera o valor decodificado de `argv` e o insere em uma segunda chamada `shell exec()` sem escape adicional. Isso permite que atacantes remotos executem comandos arbitrários com privilégios de root via sudo sem senha. **Recommendations** Atualize o Vitec Flamingo versão 4.12.2 para uma versão corrigida. Como medida paliativa temporária, restrinja o acesso ao endpoint 'admin/ajax/ping.php' ou evite usar o parâmetro `host` nesse endpoint.

**Nome do Software Vulnerável e Versões Afetadas** Vitec Flamingo versão 4.12.2 **Description** Uma injeção de comando de SO não autenticada existe no endpoint 'admin/ajax/gen graphs.php'. Atacantes remotos podem executar comandos arbitrários com privilégios de root ao fornecer metacaracteres de shell através dos parâmetros HTTP GET `start`, `end`, `key` ou `format`. Isso ocorre porque o script de geração de gráficos não sanitiza a entrada antes de passá-la para comandos de shell via a função `passthru()`. A capacidade de obter privilégios de root é facilitada pelo fato de o contexto do servidor web possuir acesso sudo sem senha. **Recommendations** Para a versão 4.12.2, aplique a correção de segurança disponível imediatamente. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'admin/ajax/gen graphs.php' ou evite o uso dos parâmetros `start`, `end`, `key` e `format` até que a correção seja aplicada.