CVE-2026-48030 — Iniezione di comandi del sistema operativo in Pheditor

Panoramica

Descrizione

Esiste una vulnerabilità critica di OS Command Injection nel gestore dell'azione terminal di pheditor.php. Il parametro POST dir viene concatenato direttamente in shell_exec() senza sanificazione, consentendo a un utente autenticato di bypassare la whitelist TERMINAL_COMMANDS ed eseguire comandi arbitrari del sistema operativo.

Codice vulnerabile

pheditor.php, riga 586:

$command = $_POST['command'];  // ✓ metacharacters checked
$dir     = $_POST['dir'];      // ✗ NOT checked — vulnerable

// Check applies to $command only, NOT $dir
if (strpos($command, '&')  !== false ||
    strpos($command, ';')  !== false ||
    strpos($command, '||') !== false) {
    die(...);
}

// $dir injected unsanitized into shell_exec
$output = shell_exec(
    (empty($dir) ? null : 'cd ' . $dir . ' && ')
    . $command . ' && echo \ ; pwd'
);

Prova di concetto

python3 poc.py --target http://TARGET/pheditor.php --password admin

Vedi poc.py per lo script PoC completo.

Correzione

pheditor.php, riga 586 — sostituire:

// BEFORE (vulnerable)
'cd ' . $dir

// AFTER (patched)
'cd ' . escapeshellarg($dir)

Riferimenti

• Avviso GitHub GHSA-jvc5-6g7q-c843
• Rilascio pheditor v2.0.4
• Repository pheditor

Esclusione di responsabilità

Questo PoC è fornito esclusivamente a scopo didattico e di ricerca. Utilizzalo solo su sistemi su cui hai esplicita autorizzazione a testare.