CVE-2026-48030

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: —
CWE: CWE-78
KEV Durumu: Hayır

Yayım tarihi: 27 Temmuz 2026

Pheditor, PHP ile yazılmış tek dosya düzenleyici ve dosya yöneticisidir. 2.0.1 sürümünden 2.0.4 sürümünden önceki sürümlerde, terminal eylem işleyicisindeki bir OS Komut Enjeksiyon zafiyeti, herhangi bir kimliği doğrulanmış kullanıcının 'dir' POST parametresine kabuk meta karakterleri enjekte ederek keyfi OS komutlarını çalıştırmasına olanak tanır ve TERMINAL_COMMANDS beyaz listesini tamamen atlayarak web sunucusu ayrıcalıkları ile tam Remote Code Execution sağlar. Bu sorun 2.0.4 sürümünde giderilmiştir.

Orijinal açıklama (İngilizce)

Pheditor is a single-file editor and file manager written in PHP. From version 2.0.1 to before version 2.0.4, an OS Command Injection vulnerability in the terminal action handler allows any authenticated user to execute arbitrary OS commands by injecting shell metacharacters into the 'dir' POST parameter, completely bypassing the TERMINAL_COMMANDS whitelist and achieving full Remote Code Execution with web server privileges. This issue has been patched in version 2.0.4.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.