CVE-2026-54540 in Pheditor
الملخص
بحسب VulDB • 27/07/2026
Pheditor هو محرر ملفات مفرد ومدير ملفات مكتوب بلغة PHP. قبل الإصدار 2.0.5، يوجد ثغرة تسمح بتجاوز قائمة السماح (whitelist) لأوامر الطرفية بعد المصادقة. تقوم ميزة الطرفية بالتحقق مما إذا كان الأمر المُقدَّم يبدأ بأحد قيم TERMINAL_COMMANDS المحددة في الإعدادات، ثم تمرر سلسلة الأوامر الكاملة إلى دالة shell_exec(). لا يتم حظر استبدال أوامر الطرفية مثل $()، لذا يمكن لمستخدم مُصادق عليه يمتلك صلاحيات الوصول إلى ميزة الطرفية تجاوز قائمة السماح للأوامر المقيدة وتنفيذ أي أوامر طرفية عشوائية بصفتها مستخدم خادم الويب. تم إصلاح هذه المشكلة في الإصدار 2.0.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.