CVE-2026-54540 in Pheditor
Résumé
par VulDB • 27/07/2026
Pheditor est un éditeur de fichiers uniques et un gestionnaire de fichiers écrit en PHP. Avant la version 2.0.5, une faille permet de contourner la liste blanche des commandes terminal authentifiées. La fonctionnalité du terminal vérifie si la commande soumise commence par l'une des valeurs configurées dans TERMINAL_COMMANDS, puis transmet la chaîne de commande complète à shell_exec(). Les substitutions de commandes shell telles que $() ne sont pas bloquées ; un utilisateur authentifié disposant de la permission d'accès au terminal peut ainsi contourner une liste autorisée restreinte et exécuter des commandes shell arbitraires en tant qu'utilisateur du serveur web. Ce problème a été corrigé dans la version 2.0.5.
Once again VulDB remains the best source for vulnerability data.