CVE-2026-48030criticalCWE-78

CVE-2026-48030: falha crítica em pheditor

Pheditor: OS Command Injection in terminal handler via unsanitized 'dir' parameter (CWE-78)

Publicada em

Seguir esta CVE+ Monitorar pheditor+ Monitorar pheditor/pheditor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

63Vexday Risk Score

Corrija em breve. Ela tem exploit funcional público.

ssvc Attendcvss 9.9epss 7.5%
da publicação à armano mesmo dia
Publicada no NVD27 de jul.
1ª PoC28 de mai.
Pheditor is a single-file editor and file manager written in PHP. From version 2.0.1 to before version 2.0.4, an OS Command Injection vulnerability in the terminal action handler allows any authenticated user to execute arbitrary OS commands by injecting shell metacharacters into the 'dir' POST parameter, completely bypassing the TERMINAL_COMMANDS whitelist and achieving full Remote Code Execution with web server privileges. This issue has been patched in version 2.0.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
pheditor · pheditor
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — pheditor

No mesmo produto, das mais perigosas para as menos.

CVE-2026-55579CRITICALPheditor: Hardcoded default password 'admin' with no forced change enables full application compromiseEPSS 0.8%CVE-2026-54540HIGHAuthenticated terminal command whitelist bypass in PheditorEPSS 0.7%CVE-2026-55578HIGHPheditor: Incomplete command sanitization in terminal feature allows RCE via pipe operator, backtick substitution, and newline injectionEPSS 0.7%