CVE-2025-69906: Caricamento Arbitrario di File a RCE in Monstra CMS 3.0.4

Autore: David PS Abraham
Data: 5 febbraio 2026
Gravità: Critica - Esecuzione di Codice Remota (CVSS 8.8+)
CWE: 434 (Caricamento senza restrizioni di un file con tipo pericoloso)

Descrizione della Vulnerabilità

Il plugin Files Manager di Monstra CMS v3.0.4 (plugins/box/filesmanager/filesmanager.admin.php) implementa una validazione delle estensioni dei file basata su blacklist che salva i file caricati direttamente nella directory /public/files/ accessibile dal web, consentendo l'esecuzione remota di codice in configurazioni standard Apache/PHP.

Analisi del Codice Vulnerabile

Difetto Principale (filesmanager.admin.php ~righe 150-220):

// WEAK BLACKLIST VALIDATION
$blacklist = array('.php', '.php3', '.php4', '.php5', '.phtml', '.pl', '.py', '.jsp', '.asp', '.sh', '.cgi');

$bypass = true;
foreach ($blacklist as $bad) {
    if (strpos(strtolower($filename), $bad) !== false) {
        $bypass = false;
        break;
    }
}

if ($bypass) {
    // DIRECT WEB-ROOT WRITE - No sanitization
    $upload_path = BASE_PATH . DS . 'public' . DS . 'files' . DS;
    move_uploaded_file($file['tmp_name'], $upload_path . $filename);
    // http://target/public/files/shell.PHP executes!
}