CVE-2025-69906: Monstra CMS 3.0.4 Произвольная загрузка файлов с удалённым выполнением кода (RCE)

Автор: David PS Abraham
Дата: 5 февраля 2026 г.
Степень опасности: Критическая — удалённое выполнение кода (CVSS 8.8+)
CWE: 434 (Неограниченная загрузка файла опасного типа)

Описание уязвимости

Плагин «Файловый менеджер» Monstra CMS v3.0.4 (plugins/box/filesmanager/filesmanager.admin.php) использует проверку расширений на основе чёрного списка, при этом загруженные файлы сохраняются непосредственно в доступный через веб каталог /public/files/, что позволяет удалённо выполнять код в стандартных конфигурациях Apache/PHP.

Анализ уязвимого кода

Основная ошибка (filesmanager.admin.php, строки ~150-220):

// СЛАБАЯ ПРОВЕРКА ПО ЧЁРНОМУ СПИСКУ
$blacklist = array('.php', '.php3', '.php4', '.php5', '.phtml', '.pl', '.py', '.jsp', '.asp', '.sh', '.cgi');

$bypass = true;
foreach ($blacklist as $bad) {
    if (strpos(strtolower($filename), $bad) !== false) {
        $bypass = false;
        break;
    }
}

if ($bypass) {
    // ПРЯМАЯ ЗАПИСЬ В КОРНЕВОЙ КАТАЛОГ ВЕБ-СЕРВЕРА — без санитизации
    $upload_path = BASE_PATH . DS . 'public' . DS . 'files' . DS;
    move_uploaded_file($file['tmp_name'], $upload_path . $filename);
    // http://target/public/files/shell.PHP выполняется!
}