CVE-2026-54540 in Pheditor
Zusammenfassung
von VulDB • 27.07.2026
Pheditor ist ein Single-File-Editor und Dateimanager, der in PHP geschrieben wurde. Vor Version 2.0.5 besteht eine authentifizierte Umgehung einer Terminal-Befehlswhitelist. Die Terminal-Funktion prüft, ob der übermittelte Befehl mit einem der konfigurierten TERMINAL_COMMANDS-Werte beginnt, übergibt dann aber den vollständigen Befehlsstring an shell_exec(). Shell-Befehlssubstitutionen wie $() werden nicht blockiert, sodass ein authentifizierter Benutzer mit Terminalberechtigung eine eingeschränkte Erlaubnisliste umgehen und beliebige Shell-Befehle als Webserver-Benutzer ausführen kann. Dieses Problem wurde in Version 2.0.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.