Przejdź do treści
Alerty bezpieczeństwa 2 min czytania

CVE-2026-61498: wstrzyknięcie komend jako root przez gen_graphs.php w Vitec Flamingo (CVSS 9.8)

Skrypt generowania wykresów przekazuje wartości parametrów start, end, key i format wprost do komend powłoki przez passthru(), bez sanityzacji...

Podsumowanie

ParametrWartość
CVE IDCVE-2026-61498
Źródło alertuGitHub Advisory - Krytyczna podatność
Rok publikacji CVE2026
Data publikacji2026-07-13
Producent
Produkt
CVSS Score9.8 (Krytyczny)
EPSS ScoreBrak danych
CISA KEVNie
RansomwareNie potwierdzono

Opis podatności

Źródło: NVD

Vitec Flamingo 4.12.2 zawiera podatność wstrzyknięcia komend systemu operacyjnego dostępną bez uwierzytelnienia w endpoincie admin/ajax/gen_graphs.php, która pozwala zdalnym, nieuwierzytelnionym atakującym wykonywać dowolne komendy przez podanie metaznaków powłoki w parametrach GET start, end, key lub format. Atakujący mogą wykorzystać brak sanityzacji danych wejściowych w skrypcie generowania wykresów, który przekazuje wartości użytkownika bezpośrednio do komend powłoki przez passthru(), aby wykonać dowolne komendy systemowe z uprawnieniami roota.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy oprogramowania wskazanego w opisie CVE. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła


Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.

Dowiedz się więcej

Udostępnij:

Porozmawiaj z ekspertem

Masz pytania dotyczące tego tematu? Skontaktuj się z naszym opiekunem.

Opiekun handlowy
Grzegorz Gnych

Grzegorz Gnych

Opiekun handlowy

Odpowiedź w ciągu 24 godzin
Bezpłatna konsultacja
Indywidualne podejście

Podanie numeru telefonu przyspieszy kontakt.

Chcesz obniżyć ryzyko i koszty IT?

Umów bezpłatną konsultację - odpowiemy w ciągu 24h

Odpowiedź w 24h Bezpłatna wycena Bez zobowiązań

Lub pobierz bezpłatny przewodnik:

Pobierz checklistę NIS2