Vitec Flamingo: Nicht authentifizierte OS-Command-Injection in admin/ajax/ping.php

Beschreibung

Vitec Flamingo 4.12.2 enthält laut NVD eine OS-Command-Injection im Endpunkt admin/ajax/ping.php, die ohne Authentifizierung ausgenutzt werden kann. Entfernte Angreifer können darüber beliebige Befehle ausführen; ausgenutzt wird gemäss Quelle eine doppelte Verarbeitung der Eingabe. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ping Identity/OneLogin

• Zimbra Collaboration Suite – PHP Remote File Inclusion (aktiv ausgenutzt) KEV CVE-2025-68645
• Cisco Identity Services Engine Injection Vulnerability KEV CVE-2025-20281
• Cisco Identity Services Engine – Injection-Schwachstelle KEV CVE-2025-20337
• PHPMailer Command Injection Vulnerability KEV CVE-2016-10033
• PHP-CGI OS Command Injection Vulnerability KEV CVE-2024-4577
• Juniper Junos OS EX Series PHP External Variable Modification Vulnerability KEV CVE-2023-36844