CVE-2026-54540 in Pheditor
Sumário
de VulDB • 27/07/2026
Pheditor é um editor de arquivos únicos e gerenciador de arquivos escrito em PHP. Antes da versão 2.0.5, existe uma violação do whitelist (lista permitida) de comandos do terminal autenticado. O recurso do terminal verifica se o comando submetido começa com um dos valores configurados em TERMINAL_COMMANDS, passando então a string completa do comando para shell_exec(). Substituição de comandos do shell como $() não é bloqueada, portanto, um usuário autenticado com permissão de terminal pode contornar uma lista permitida restrita e executar comandos arbitrários do shell como o usuário do servidor web. Este problema foi corrigido na versão 2.0.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.