CVE-2026-60121

Nome do Software Vulnerável e Versões Afetadas Vitec Flamingo versão 4.12.2

Description Uma injeção de comando de SO não autenticada existe devido a uma falha de dupla avaliação no tratamento de argumentos do shell. O endpoint 'admin/ajax/ping.php' processa o parâmetro POST host usando a função escapeshellarg() antes de passá-lo para um wrapper de sistema. No entanto, o wrapper recupera o valor decodificado de argv e o insere em uma segunda chamada shell exec() sem escape adicional. Isso permite que atacantes remotos executem comandos arbitrários com privilégios de root via sudo sem senha.

Recommendations Atualize o Vitec Flamingo versão 4.12.2 para uma versão corrigida. Como medida paliativa temporária, restrinja o acesso ao endpoint 'admin/ajax/ping.php' ou evite usar o parâmetro host nesse endpoint.