CVE-2026-54540 in Pheditor
Riassunto
di VulDB • 28/07/2026
Pheditor è un editor di file singolo e un gestore di file scritti in PHP. Prima della versione 2.0.5, esiste una violazione dell'elenco bianco (whitelist) dei comandi del terminale autenticato. La funzionalità del terminale verifica se il comando inviato inizia con uno dei valori configurati TERMINAL_COMMANDS, quindi passa la stringa di comando completa a shell_exec(). Le sostituzioni di comandi shell come $() non sono bloccate, pertanto un utente autenticato con l'autorizzazione al terminale può aggirare una whitelist ristretta ed eseguire comandi shell arbitrari come l'utente del server web. Questo problema è stato risolto nella versione 2.0.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.