hazlo un readme.md para pegarlo

CVE-2025-69906: Monstra CMS 3.0.4 Subida Arbitraria de Archivos a RCE

Autor: David PS Abraham
Fecha: 5 de febrero de 2026
Severidad: Crítica - Ejecución Remota de Código (CVSS 8.8+)
CWE: 434 (Subida sin restricciones de archivos de tipo peligroso)

Descripción de la Vulnerabilidad

El complemento Files Manager de Monstra CMS v3.0.4 (plugins/box/filesmanager/filesmanager.admin.php) implementa validación de extensión de archivos basada en listas negras que almacena los archivos subidos directamente en el directorio accesible vía web /public/files/, permitiendo la ejecución remota de código en configuraciones estándar de Apache/PHP.

Análisis del Código Vulnerable

Fallo Principal (filesmanager.admin.php ~líneas 150-220):

// VALIDACIÓN DÉBIL DE LISTA NEGRA
$blacklist = array('.php', '.php3', '.php4', '.php5', '.phtml', '.pl', '.py', '.jsp', '.asp', '.sh', '.cgi');

$bypass = true;
foreach ($blacklist as $bad) {
    if (strpos(strtolower($filename), $bad) !== false) {
        $bypass = false;
        break;
    }
}

if ($bypass) {
    // ESCRITURA DIRECTA EN LA RAÍZ WEB - Sin saneamiento
    $upload_path = BASE_PATH . DS . 'public' . DS . 'files' . DS;
    move_uploaded_file($file['tmp_name'], $upload_path . $filename);
    // http://target/public/files/shell.PHP se ejecuta!
}

Técnicas de Bypass

Impacto Técnico

Versiones Afectadas

Monstra CMS <= 3.0.4
Ruta: plugins/box/filesmanager/filesmanager.admin.php
Repositorio: https://github.com/monstra-cms/monstra/tree/dev/plugins/box/filesmanager

Cronología

2026-02-05: CVE-2025-69906 asignado por MITRE
2026-02-05: Divulgación pública

Referencias

• CVE-2025-69906
• Monstra CMS GitHub
• Código fuente de Files Manager
• Relacionado: CVE-2018-9037 (RCE por subida ZIP)

Recomendación

1. Deshabilitar el complemento Files Manager
2. Usar lista blanca de extensiones PERMITIDAS (image/png, image/jpeg)
3. Renombrar subidas: uniqid() + .jpg
4. Almacenar fuera de la raíz web
5. Migrar a un CMS mantenido

Créditos

Descubierto por: David PS Abraham (Investigador de Ciberseguridad)

Divulgación responsable siguiendo la asignación de CVE. No se realizó explotación en entornos activos.
Proyecto sin mantenimiento desde 2018 según aviso del repositorio.
[1]

Copia todo este contenido → Pégalo en tu README.md de tu repositorio → Haz commit & push → Comparte en redes sociales.