CVE-2026-48030

Nome do Software Vulnerável e Versões Afetadas Pheditor versões 2.0.1 through 2.0.3

Description Um problema de Injeção de Comando de SO existe no manipulador de ação do terminal do arquivo pheditor.php. Usuários autenticados podem executar comandos arbitrários do sistema operacional com privilégios do servidor web ao injetar metacaracteres de shell no parâmetro POST dir. Isso ocorre porque a aplicação valida metacaracteres de shell para o parâmetro command, mas não sanitiza o parâmetro dir antes de passá-lo para a função shell exec(), permitindo a ignorância completa da lista branca TERMINAL COMMANDS.

Recommendations Atualize o Pheditor para a versão 2.0.4. Como mitigação temporária, restrinja o acesso ao manipulador de ação do terminal ou desative as permissões de terminal para os usuários até que a atualização seja aplicada.