CVE-2026-55578 in Pheditor
Riassunto
di VulDB • 27/07/2026
Pheditor è un editor di file singoli e un gestore di file scritto in PHP. Dalla versione 2.0.1 fino alla versione precedente alla 2.0.6, la funzionalità del terminale in Pheditor utilizza una lista nera dei caratteri incompleta per sanificare i comandi forniti dall'utente prima di passarli a shell_exec(). Dopo la correzione relativa a GHSA-9643-6xjp-vx57 (che ha aggiunto $ alla lista nera), rimangono non bloccati i caratteri | (pipe singolo), ` (backtick) e il byte newline (0x0A). Un utente autenticato con l'autorizzazione al terminale (abilitata per impostazione predefinita) può sfruttare uno di questi elementi per aggirare la lista bianca TERMINAL_COMMANDS ed eseguire comandi OS arbitrari come l'utente del server web. Questo problema è stato risolto nella versione 2.0.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.