CVE-2026-48030
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 72 - wyżej niż 72% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w Pheditorze. Uwierzytelniony użytkownik może wykonać dowolne polecenia systemowe poprzez wstrzyknięcie metaznaków powłoki do parametru 'dir' POST, omijając białą listę TERMINAL_COMMANDS.
Ocena ryzyka
Ryzyko obejmuje pełne zdalne wykonanie kodu z uprawnieniami serwera WWW, co może prowadzić do całkowitej kompromitacji systemu.
Rekomendacja
Zaktualizuj Pheditor do wersji 2.0.4 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Pheditor is a single-file editor and file manager written in PHP. From version 2.0.1 to before version 2.0.4, an OS Command Injection vulnerability in the terminal action handler allows any authenticated user to execute arbitrary OS commands by injecting shell metacharacters into the 'dir' POST parameter, completely bypassing the TERMINAL_COMMANDS whitelist and achieving full Remote Code Execution with web server privileges. This issue has been patched in version 2.0.4.