CVE-2026-55579
Pheditor: Contraseña predeterminada codificada 'admin' sin cambio forzado permite el compromiso total de la aplicación
- Publicado
- 27 jul 2026
- Actualizado
- 27 jul 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 47,2 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Pheditor es un editor de archivos y administrador de archivos de un solo archivo escrito en PHP. Desde la versión 2.0.1 hasta antes de la versión 2.0.6, Pheditor incluye una contraseña predeterminada codificada (hardcoded) admin (hash SHA-512 almacenado en pheditor.php:11). No existe ningún mecanismo para forzar el cambio de contraseña en el primer inicio de sesión. Cualquier implementación que use las credenciales predeterminadas otorga a un atacante acceso completo al editor de archivos, la carga de archivos y las funciones de terminal, lo que permite lectura/escritura arbitraria de archivos y ejecución remota de código. Este problema ha sido corregido en la versión 2.0.6.
Fuentes
1- CVE-2026-55579Exploit
CVE-2026-55579 – RCE no autenticado en Pheditor mediante contraseña predeterminada codificada "admin". Exploit completo en Python con carga de archivos y ejecución en terminal. Sin dependencias.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.