CVE-2026-48030 — Injection de commandes OS dans Pheditor

Aperçu

Description

Une vulnérabilité critique d'injection de commandes OS existe dans le gestionnaire d'action terminal de pheditor.php. Le paramètre POST dir est concaténé directement dans shell_exec() sans assainissement, permettant à un attaquant authentifié de contourner la liste blanche TERMINAL_COMMANDS et d'exécuter des commandes OS arbitraires.

Code vulnérable

pheditor.php, ligne 586 :

$command = $_POST['command'];  // ✓ metacharacters checked
$dir     = $_POST['dir'];      // ✗ NOT checked — vulnerable

// Check applies to $command only, NOT $dir
if (strpos($command, '&')  !== false ||
    strpos($command, ';')  !== false ||
    strpos($command, '||') !== false) {
    die(...);
}

// $dir injected unsanitized into shell_exec
$output = shell_exec(
    (empty($dir) ? null : 'cd ' . $dir . ' && ')
    . $command . ' && echo \ ; pwd'
);

Preuve de concept

python3 poc.py --target http://TARGET/pheditor.php --password admin

Voir poc.py pour le script PoC complet.

Correctif

pheditor.php, ligne 586 — remplacez :

// BEFORE (vulnerable)
'cd ' . $dir

// AFTER (patched)
'cd ' . escapeshellarg($dir)

Références

• Avis GitHub GHSA-jvc5-6g7q-c843
• Version pheditor v2.0.4
• Dépôt pheditor

Avertissement

Cette preuve de concept est fournie uniquement à des fins éducatives et de recherche. Utilisez-la uniquement sur des systèmes pour lesquels vous avez une autorisation explicite de test.