漏洞概述 CVE-2026-61498 是一个未认证的命令注入漏洞，存在于 Vitec Flamingo 设备的 组件中。该漏洞允许远程未认证攻击者通过 HTTP GET 参数执行任意操作系统命令。 影响范围 设备: Vitec Flamingo 版本: 4.12.2 CVSS 评分: 9.8 影响: 攻击者可以执行任意操作系统命令，导致设备完全被控制，获得 root 权限。 修复方案 目前页面中未提供具体的修复方案。建议用户尽快更新设备固件或联系设备制造商获取补丁。 漏洞详情 上下文 Vitec Flamingo 设备暴露了 端点，该端点负责生成监控数据的图形表示。端点接受多个用户控制的参数（ , , , ），这些参数随后被合并到 shell 命令中执行。 攻击向量 网络访问: 远程 认证要求: 无 用户交互: 无 注入点: HTTP GET 参数 漏洞细节 端点接受多个 GET 参数，包括 , , , 和 。这些参数被合并到 shell 命令中，但没有经过适当的特殊字符清理，导致命令注入漏洞。 概念验证 (PoC) 攻击者可以通过构造恶意的 HTTP GET 请求，将恶意命令注入到 端点中，从而执行任意操作系统命令。 风险与影响 成功利用此漏洞可能导致以下影响： 执行任意操作系统命令 未认证的远程代码执行 通过无密码 sudo 以 root 权限执行 设备完全被控制 安装持久后门、窃取敏感信息或作为横向移动的跳点 作者 Yassine Damri Adam Outkni 总结 CVE-2026-61498 是一个严重的未认证命令注入漏洞，存在于 Vitec Flamingo 设备的 端点中。攻击者可以通过构造恶意的 HTTP GET 请求执行任意操作系统命令，导致设备完全被控制。建议用户尽快更新设备固件或联系设备制造商获取补丁。