اجعلها readme.md للصقها فيه

CVE-2025-69906: رفع ملفات تعسفي في Monstra CMS 3.0.4 يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE)

المؤلف: David PS Abraham
التاريخ: 5 فبراير 2026
الخطورة: حرجة - تنفيذ تعليمات برمجية عن بُعد (CVSS 8.8+)
CWE: 434 (رفع غير مقيد لملف بنوع خطير)

وصف الثغرة

يستخدم مكوّن إدارة الملفات في Monstra CMS الإصدار 3.0.4 (plugins/box/filesmanager/filesmanager.admin.php) تحققًا من امتدادات الملفات قائمًا على القائمة السوداء يخزّن الملفات المرفوعة مباشرةً في دليل /public/files/ المتاح عبر الويب، مما يتيح تنفيذ تعليمات برمجية عن بُعد في إعدادات Apache/PHP القياسية.

تحليل الكود المُعرَّض للثغرة

الخلل الأساسي (filesmanager.admin.php ~الأسطر 150-220):

// WEAK BLACKLIST VALIDATION
$blacklist = array('.php', '.php3', '.php4', '.php5', '.phtml', '.pl', '.py', '.jsp', '.asp', '.sh', '.cgi');

$bypass = true;
foreach ($blacklist as $bad) {
    if (strpos(strtolower($filename), $bad) !== false) {
        $bypass = false;
        break;
    }
}

if ($bypass) {
    // DIRECT WEB-ROOT WRITE - No sanitization
    $upload_path = BASE_PATH . DS . 'public' . DS . 'files' . DS;
    move_uploaded_file($file['tmp_name'], $upload_path . $filename);
    // http://target/public/files/shell.PHP executes!
}