JVNDB-2026-028651

VITECのFlamingoにおけるOS コマンドインジェクションの脆弱性

Vitec Flamingo 4.12.2には、admin/ajax/ping.phpエンドポイントに認証なしでOSコマンドをインジェクションできる脆弱性があります。この脆弱性は、シェル引数処理における二重評価の欠陥を悪用することで、リモートの攻撃者が任意のコマンドを実行できるようにします。該当エンドポイントは、ユーザーが提供するhostというPOSTパラメータに対してescapeshellarg()を適用した後でシステムのラッパーに渡しますが、ラッパーはargvからデコード済みの値を取得し、エスケープを行わずに二度目のshell_exec()呼び出しに組み込んでいます。そのため、パスワード不要のsudo経由でroot権限にて注入されたコマンドが実行されてしまいます。

VITEC

• Flamingo 4.12.2 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

VulnCheck

• VulnCheck : Vitec Flamingo 4.12.2 Unauthenticated OS Command Injection via ping.php  | Advisories | VulnCheck

Yassine Damiri

• Yassine Damiri : Unauthenticated Command Injection via the `/admin/ajax/ping.php` Endpoint | Damiri.fr

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-60121

1. National Vulnerability Database (NVD) : CVE-2026-60121
2. 関連文書 : VITEC: VITEC's IPTV Distribution Systems for your audience

• [2026年08月17日]
    掲載