CVE-2026-54540 in Pheditor
要約
〜によって VulDB • 2026年07月27日
PheditorはPHPで書かれた単一ファイルエディタおよびファイルマネージャーです。バージョン2.0.5以前では、認証済みターミナルコマンドのホワイトリスト回避という脆弱性が存在します。ターミナル機能は、送信されたコマンドが設定済みのTERMINAL_COMMANDS値のいずれかで始まるかどうかをチェックしますが、その後、完全なコマンド文字列をshell_exec()に渡します。$()のようなシェルコマンド置換はブロックされないため、ターミナル権限を持つ認証済みユーザーは制限付きのコマンド許可リストを回避し、Webサーバーユーザーとして任意のシェルコマンドを実行できます。この問題はバージョン2.0.5で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.