CVE-2026-55579
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Pheditor zawiera zakodowane na stałe domyślne hasło 'admin' (hash SHA-512). Brak mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu. Każde wdrożenie z domyślnymi danymi uwierzytelniającymi daje atakującemu pełny dostęp do edytora plików, przesyłania plików i terminala, umożliwiając odczyt/zapis plików i zdalne wykonanie kodu.
Ocena ryzyka
Ryzyko jest krytyczne – niezmienione domyślne hasło pozwala na natychmiastowe przejęcie kontroli nad aplikacją i serwerem.
Rekomendacja
Natychmiast zmień domyślne hasło na silne, unikalne oraz zaktualizuj Pheditor do wersji 2.0.6 lub nowszej.
Inne podatności w Pheditor
Zobacz wszystkie- CVE-2026-66824Krytyczne
Podatność na trwałe XSS w narzędziu do wizualizacji drzewa przechwytywania. Serializowane dane drzewa były osadzane w bloku JavaScript inline, co pozwalało na wstrzyknięcie złośliwego kodu HTML/JavaScript. Atakujący mógł wykonać działania w kontekście sesji ofiary.
- CVE-2026-48030Krytyczne
Podatność na wstrzyknięcie poleceń systemu operacyjnego w Pheditorze. Uwierzytelniony użytkownik może wykonać dowolne polecenia systemowe poprzez wstrzyknięcie metaznaków powłoki do parametru 'dir' POST, omijając białą listę TERMINAL_COMMANDS.
- CVE-2026-55578Wysokie
Pheditor w wersjach 2.0.1-2.0.5 ma podatność w funkcji terminala, która używa niekompletnej listy blokowanych znaków. Znaki |, ` i nowa linia (0x0A) nie są blokowane, co pozwala uwierzytelnionemu użytkownikowi na ominięcie listy dozwolonych komend i wykonanie dowolnych poleceń OS.
- CVE-2026-54540Wysokie
Pheditor przed wersją 2.0.5 ma podatność w funkcji terminala, która sprawdza tylko początek komendy, a nie blokuje podstawiania komend shell ($()). Uwierzytelniony użytkownik może ominąć listę dozwolonych komend i wykonać dowolne polecenia OS.
Oryginalny opis (angielski, źródło NVD)
Pheditor is a single-file editor and file manager written in PHP. From version 2.0.1 to before version 2.0.6, Pheditor ships with a hardcoded default password admin (SHA-512 hash stored at pheditor.php:11). There is no mechanism to force a password change on first login. Any deployment using the default credentials grants an attacker full access to the file editor, file upload, and terminal features, enabling arbitrary file read/write and remote code execution. This issue has been patched in version 2.0.6.