CVE-2026-48030 — Inyección de comandos del sistema operativo en Pheditor

Resumen

Descripción

Existe una vulnerabilidad crítica de inyección de comandos del sistema operativo en el manejador de la acción de terminal de pheditor.php. El parámetro POST dir se concatena directamente en shell_exec() sin saneamiento, lo que permite a un atacante autenticado eludir la lista blanca TERMINAL_COMMANDS y ejecutar comandos arbitrarios del sistema operativo.

Código vulnerable

pheditor.php, línea 586:

$command = $_POST['command'];  // ✓ metacharacters checked
$dir     = $_POST['dir'];      // ✗ NOT checked — vulnerable

// Check applies to $command only, NOT $dir
if (strpos($command, '&')  !== false ||
    strpos($command, ';')  !== false ||
    strpos($command, '||') !== false) {
    die(...);
}

// $dir injected unsanitized into shell_exec
$output = shell_exec(
    (empty($dir) ? null : 'cd ' . $dir . ' && ')
    . $command . ' && echo \ ; pwd'
);

Prueba de concepto

python3 poc.py --target http://TARGET/pheditor.php --password admin

Consulta poc.py para ver el script completo de PoC.

Corrección

pheditor.php, línea 586 — reemplazar:

// BEFORE (vulnerable)
'cd ' . $dir

// AFTER (patched)
'cd ' . escapeshellarg($dir)

Referencias

• Aviso de GitHub GHSA-jvc5-6g7q-c843
• Lanzamiento de pheditor v2.0.4
• Repositorio de pheditor

Descargo de responsabilidad

Este PoC se proporciona únicamente con fines educativos y de investigación. Úsalo solo en sistemas en los que tengas permiso explícito para realizar pruebas.