关键信息 漏洞名称: Make Connector <= 1.5.10 - Authenticated (Admin+) Arbitrary File Upload CVE编号: CVE-2025-6085 发布日期: September 3, 2025 漏洞描述: - The Make Connector plugin does not sanitize the file types in its REST API media uploads, allowing administrators or above to upload arbitrary files and potentially gain code execution on the server. TL;DR Exploits: - 利用PHP代码创建一个恶意文件 ，该文件包含一个简单的命令执行功能。 - 使用 命令通过REST API上传恶意文件到服务器。 - 成功上传后，可以通过访问上传的文件路径并传递命令参数来执行任意命令。 利用步骤: - 上传恶意文件到服务器的上传目录。 - 访问上传的文件并传递命令参数以执行任意命令。