CVE-2026-55578 in Pheditor
Zusammenfassung
von VulDB • 27.07.2026
Pheditor ist ein Single-File-Editor und Dateimanager, der in PHP geschrieben wurde. Ab Version 2.0.1 bis vor Version 2.0.6 verwendet die Terminal-Funktion von Pheditor eine unvollständige Blockliste für Zeichen, um benutzergestellte Befehle zu bereinigen, bevor sie an shell_exec() übergeben werden. Nach der Korrektur für GHSA-9643-6xjp-vx57 (die $ zur Blockliste hinzugefügt hat), bleiben die Zeichen | (Pipe-Zeichen), ` (Backtick) und das Newline-Byte (0x0A) unblockiert. Ein authentifizierter Benutzer mit der Terminal-Berechtigung (standardmäßig aktiviert) kann eines dieser Zeichen nutzen, um die TERMINAL_COMMANDS-Allowlist zu umgehen und beliebige OS-Befehle als Webserver-Benutzer auszuführen. Dieses Problem wurde in Version 2.0.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.