CVE-2026-48030 — OS-Befehlsinjektion in Pheditor

Übersicht

Beschreibung

Eine kritische Schwachstelle zur OS-Befehlsinjektion existiert im Terminal-Action-Handler von pheditor.php. Der dir-POST-Parameter wird ohne Bereinigung direkt in shell_exec() eingefügt, wodurch ein authentifizierter Angreifer die TERMINAL_COMMANDS-Whitelist umgehen und beliebige Betriebssystembefehle ausführen kann.

Verwundbarer Code

pheditor.php, Zeile 586:

$command = $_POST['command'];  // ✓ metacharacters checked
$dir     = $_POST['dir'];      // ✗ NOT checked — vulnerable

// Check applies to $command only, NOT $dir
if (strpos($command, '&')  !== false ||
    strpos($command, ';')  !== false ||
    strpos($command, '||') !== false) {
    die(...);
}

// $dir injected unsanitized into shell_exec
$output = shell_exec(
    (empty($dir) ? null : 'cd ' . $dir . ' && ')
    . $command . ' && echo \ ; pwd'
);

Proof of Concept

python3 poc.py --target http://TARGET/pheditor.php --password admin

Siehe poc.py für das vollständige PoC-Skript.

Behebung

pheditor.php, Zeile 586 — ersetzen:

// BEFORE (vulnerable)
'cd ' . $dir

// AFTER (patched)
'cd ' . escapeshellarg($dir)

Referenzen

• GitHub Advisory GHSA-jvc5-6g7q-c843
• pheditor v2.0.4 Release
• pheditor Repository

Haftungsausschluss

Dieses PoC dient ausschließlich Bildungs- und Forschungszwecken. Verwenden Sie es nur auf Systemen, für deren Test Sie eine ausdrückliche Genehmigung haben.