注目★★★★★GitHub Advisory
Pheditor、デフォルトパスワード 'admin' で認証回避・ファイル編集やコード実行が可能に
30秒で把握
- 1Pheditor 全バージョンに 'admin' デフォルトパスワード・強制変更機構なし
- 2初回ログイン後も認証が効かず、ファイル編集・アップロード・ターミナル へのフル アクセスが可能
- 3デプロイ直後のパスワード変更確認・ソース読み取り権限制限が必須
要約
Pheditor はデフォルトパスワード 'admin' (SHA-512 ハッシュ `c7ad44cb…`) を全バージョンでハードコード化しており、初回ログイン時に強制変更される仕組みがない。警告バナーは表示されるだけで実効的な保護がないため、デフォルト認証情報のまま運用されると、攻撃者がファイルエディタ・ファイルアップロード・ターミナル機能にアクセスして任意ファイルの読み書き、リモートコード実行が可能になる。パスワード変更機能も新ハッシュを PHP ソースに直接書き込むため、ソースコード読み取り権限でハッシュが抽出できる。
あなたへの影響
Pheditor を自社やクラウド上で運用するチームは、デプロイ直後にデフォルトパスワードから強力な独自パスワードへ即座に変更し、ソースコードを読み取り不可に設定すべき。
推奨：既存運用中なら現在のパスワードを確認・変更する必要がある。