目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CVE-2026-54540— Pheditor 认证终端命令白名单绕过漏洞

一分钟漏洞结论

影响对象
pheditor pheditor
利用判断
存在公开或 AI PoC，应优先验证
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Pheditor 是一个用 PHP 编写的单文件编辑器和文件管理器。在 2.0.5 版本之前，存在一个已认证的终端命令白名单绕过漏洞。该终端功能在调用 shell_exec() 执行命令前，仅检查提交的命令是否以预配置的 TERMINAL_COMMANDS 值之一开头，但未对完整命令字符串进行充分的安全验证。由于 shell 命令替换语法（如 $()）未被阻止，因此拥有终端权限的已认证用户可以绕过受限的命令白名单，以 Web 服务器用户的身份执行任意 shell 命令。该问题已在 2.0.5 版本中修复。

CVSS 8.8 · High EPSS 0.73% · P52

影响版本矩阵 1

厂商产品 版本范围状态
pheditor pheditor < 2.0.5 affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-54540 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Authenticated terminal command whitelist bypass in Pheditor
来源: CVE Program / CVE List V5
Vulnerability Description
Pheditor is a single-file editor and file manager written in PHP. Prior to version 2.0.5, there is an authenticated terminal command whitelist bypass. The terminal feature checks whether the submitted command starts with one of the configured TERMINAL_COMMANDS values, then passes the full command string to shell_exec(). Shell command substitution such as $() is not blocked, so an authenticated user with the terminal permission can bypass a restricted command allowlist and execute arbitrary shell commands as the web server user. This issue has been patched in version 2.0.5.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
pheditor pheditor < 2.0.5 -

二、漏洞 CVE-2026-54540 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 已实测靶场 高级
Qwen3.6-35B-A3B · 4814 chars
Pro+ 专属包含：
漏洞复现靶场录像（真实沙箱构建 + 触发，独家）
漏洞原理深度分析
触发条件与影响面
完整可执行 POC 代码
利用链与缓解建议
POC 打包下载
每月 100+ 条 AI 生成额度

三、漏洞 CVE-2026-54540 的情报信息

请登录查看更多情报信息。

CVE-2026-54540 厂商安全公告 (1)

CVE-2026-54540 厂商页面 (1)

同批安全公告 · pheditor · 2026-07-27 · 共 4 条

CVE-2026-48030 9.9 CRITICAL Pheditor 终端处理器目录参数命令注入漏洞
CVE-2026-55579 9.8 CRITICAL Pheditor 默认密码未强制修改致应用被控
CVE-2026-55578 8.8 HIGH Pheditor 命令注入漏洞

IV. Related Vulnerabilities

Same product: pheditor
Same vendor: pheditor
Same weakness: CWE-78

V. Comments for CVE-2026-54540

暂无评论

发表评论