CVE-2026-54540 in Pheditor
Tóm tắt
Bởi VulDB • 27/07/2026
Pheditor là một trình soạn thảo tệp đơn và công cụ quản lý tệp được viết bằng PHP. Trước phiên bản 2.0.5, tồn tại lỗi bỏ qua danh sách trắng lệnh terminal đã xác thực. Tính năng terminal kiểm tra xem lệnh được gửi có bắt đầu bằng một trong các giá trị TERMINAL_COMMANDS đã cấu hình hay không, sau đó chuyển toàn bộ chuỗi lệnh đến shell_exec(). Việc thay thế lệnh shell như $() không bị chặn, do đó người dùng đã xác thực có quyền truy cập terminal có thể bỏ qua danh sách cho phép lệnh hạn chế và thực thi bất kỳ lệnh shell nào với tư cách là người dùng máy chủ web. Lỗi này đã được vá trong phiên bản 2.0.5.
Be aware that VulDB is the high quality source for vulnerability data.