关键信息总结 漏洞概述 CVE ID: CVE-2025-69906 产品: Monstra CMS 3.0.4 漏洞类型: 任意文件上传导致远程代码执行 (RCE) 漏洞描述: Monstra CMS 3.0.4 的 Files Manager 插件 (plugins/box/filesmanger/filesmanger.admin.php) 存在黑名单文件扩展验证绕过漏洞，存储上传的文件在直接可访问的目录下，可能导致 RCE。 严重性与CVSS评分 严重性: 危急 - 远程代码执行 (CVSS 8.8+) CWE分类: 434 (未限制危险类型的文件上传) 漏洞代码分析 核心问题: 在 filemanager.admin.php 的 ~150-220 行，存在弱黑名单验证和直接的 Web 根目录写入。 绕过技术 技术影响 影响版本 Monstra CMS ≤ 3.0.4 涉及路径: plugins/box/filesmanger/filesmanger.admin.php 存储库: Monstra CMS 时间线 2026-02-05: CVE 分配给MITRE 2026-02-05: 公开披露 推荐措施 1. 禁用文件管理器插件 2. 只允许白名单扩展名 (image/png, image/jpeg) 3. 重命名上传文件: uniqid() + .jpg 4. 存储在 Web 根目录外部 5. 迁移到维护中的 CMS 发现者 发现者: David PS Abraham (网络安全研究员) 其他 已进行负责任披露，未检测到现场利用。 关联漏洞: CVE-2018-9037 (ZIP 上传 RCE)