CVE-2026-54540

Nome do Software Vulnerável e Versões Afetadas Pheditor versões anteriores a 2.0.5

Description Um usuário autenticado com permissões de terminal pode ignorar a lista de permissões de comandos para executar comandos de shell arbitrários como o usuário do servidor web. O recurso de terminal verifica se o comando enviado começa com um dos valores definidos em TERMINAL COMMANDS antes de passar a string completa para a função shell exec(). Como a verificação é baseada em prefixo e não bloqueia a substituição de comandos do shell, como $(), um invasor pode anexar comandos maliciosos que o shell ainda executará. A lógica vulnerável processa o parâmetro command de uma requisição POST.

Recommendations Atualize para a versão 2.0.5. Como medida de mitigação temporária, restrinja ou desative o recurso de terminal para os usuários até que a atualização seja aplicada.