Podatności Pheditor

Podatność na trwałe XSS w narzędziu do wizualizacji drzewa przechwytywania. Serializowane dane drzewa były osadzane w bloku JavaScript inline, co pozwalało na wstrzyknięcie złośliwego kodu HTML/JavaScript. Atakujący mógł wykonać działania w kontekście sesji ofiary.

Pheditor zawiera zakodowane na stałe domyślne hasło 'admin' (hash SHA-512). Brak mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu. Każde wdrożenie z domyślnymi danymi uwierzytelniającymi daje atakującemu pełny dostęp do edytora plików, przesyłania plików i terminala, umożliwiając odczyt/zapis plików i zdalne wykonanie kodu.

Podatność na wstrzyknięcie poleceń systemu operacyjnego w Pheditorze. Uwierzytelniony użytkownik może wykonać dowolne polecenia systemowe poprzez wstrzyknięcie metaznaków powłoki do parametru 'dir' POST, omijając białą listę TERMINAL_COMMANDS.

Pheditor w wersjach 2.0.1-2.0.5 ma podatność w funkcji terminala, która używa niekompletnej listy blokowanych znaków. Znaki |, ` i nowa linia (0x0A) nie są blokowane, co pozwala uwierzytelnionemu użytkownikowi na ominięcie listy dozwolonych komend i wykonanie dowolnych poleceń OS.

Pheditor przed wersją 2.0.5 ma podatność w funkcji terminala, która sprawdza tylko początek komendy, a nie blokuje podstawiania komend shell ($()). Uwierzytelniony użytkownik może ominąć listę dozwolonych komend i wykonać dowolne polecenia OS.