CVE-2025-69906: Caricamento Arbitrario di File a RCE in Monstra CMS 3.0.4

Autore: David PS Abraham
Data: 5 febbraio 2026
Gravità: Critica - Esecuzione di Codice Remota (CVSS 8.8+)
CWE: 434 (Caricamento senza restrizioni di un file con tipo pericoloso)

Descrizione della Vulnerabilità

Il plugin Files Manager di Monstra CMS v3.0.4 (plugins/box/filesmanager/filesmanager.admin.php) implementa una validazione delle estensioni dei file basata su blacklist che salva i file caricati direttamente nella directory /public/files/ accessibile dal web, consentendo l'esecuzione remota di codice in configurazioni standard Apache/PHP.

Analisi del Codice Vulnerabile

Difetto Principale (filesmanager.admin.php ~righe 150-220):

// WEAK BLACKLIST VALIDATION
$blacklist = array('.php', '.php3', '.php4', '.php5', '.phtml', '.pl', '.py', '.jsp', '.asp', '.sh', '.cgi');

$bypass = true;
foreach ($blacklist as $bad) {
    if (strpos(strtolower($filename), $bad) !== false) {
        $bypass = false;
        break;
    }
}

if ($bypass) {
    // DIRECT WEB-ROOT WRITE - No sanitization
    $upload_path = BASE_PATH . DS . 'public' . DS . 'files' . DS;
    move_uploaded_file($file['tmp_name'], $upload_path . $filename);
    // http://target/public/files/shell.PHP executes!
}

Tecniche di Bypass

Impatto Tecnico

Versioni Affette

Monstra CMS <= 3.0.4
Path: plugins/box/filesmanager/filesmanager.admin.php
Repo: https://github.com/monstra-cms/monstra/tree/dev/plugins/box/filesmanager

Cronologia

2026-02-05: CVE-2025-69906 assigned by MITRE
2026-02-05: Public disclosure

Riferimenti

• CVE-2025-69906
• Monstra CMS GitHub
• Sorgente Files Manager
• Correlato: CVE-2018-9037 (RCE tramite caricamento ZIP)

Raccomandazioni

1. Disable Files Manager plugin
2. Whitelist ALLOWED extensions only (image/png, image/jpeg)
3. Rename uploads: uniqid() + .jpg
4. Store outside web root
5. Migrate to maintained CMS

Crediti

Scoperto da: David PS Abraham (Ricercatore di Cybersecurity)

Divulgazione responsabile in seguito all'assegnazione del CVE. Nessuna exploitazione dal vivo effettuata.
Progetto non più mantenuto dal 2018, come indicato nell'avviso del repository.
[1]

Copia l'intero contenuto → Incollalo nel README.md del tuo repository → Commit & Push → Condividi sui canali social.

Citazioni: [1] 1000279995.jpg https://ppl-ai-file-upload.s3.amazonaws.com/web/direct-files/attachments/images/62532667/8d8c801d-6e5c-4292-b88f-4530423fb53a/1000279995.jpg