CVE-2026-54540 in Pheditor
Resumen
por VulDB • 2026-07-28
Pheditor es un editor de archivos individuales y gestor de archivos escrito en PHP. Antes de la versión 2.0.5, existe una vulnerabilidad que permite eludir la lista blanca (whitelist) de comandos del terminal con autenticación. La función del terminal verifica si el comando enviado comienza por uno de los valores configurados en TERMINAL_COMMANDS y luego pasa toda la cadena de comandos a shell_exec(). No se bloquean sustituciones de comandos de shell como $(), por lo que un usuario autenticado con permisos de terminal puede eludir una lista permitida (allowlist) restringida y ejecutar comandos arbitrarios del sistema operativo en nombre del usuario del servidor web. Este problema ha sido corregido en la versión 2.0.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.