PT-2025-45416 · Monstaftp · Monstaftp
Sonny
·
Publicado
2025-11-07
·
Atualizado
2025-12-15
·
CVE-2025-34299
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões 2.11 e anteriores do Monsta FTP
Versões do Monsta FTP anteriores à 2.11.3
Descrição
As versões 2.11 e anteriores do Monsta FTP contêm uma vulnerabilidade crítica que permite o upload arbitrário de arquivos sem autenticação, levando à execução remota de código. Atacantes podem explorar essa falha fazendo upload de um arquivo especialmente criado a partir de um servidor (S)FTP malicioso, potencialmente obtendo controle total dos servidores afetados. Mais de 5.000 instâncias do Monsta FTP foram identificadas como vulneráveis. A vulnerabilidade está sendo ativamente explorada na natureza, com relatos de atacantes instalando webshells e comprometendo sistemas. A falha reside na função
downloadFile e é acionada por requisições POST criadas especificamente. O endpoint da API utilizado para exploração não é mencionado explicitamente. A vulnerabilidade permite que atacantes façam upload de payloads e obtenham execução de código em nível de servidor.Recomendações
Atualize o Monsta FTP para a versão 2.11.3 ou posterior para corrigir a vulnerabilidade.
Restrinja o acesso à API a IPs confiáveis.
Implemente segmentação de rede para isolar ativos críticos.
Monitore conexões SFTP/SSH de saída incomuns.
Implante Firewalls de Aplicação Web com validação de entrada e detecção de travessia de diretório.
Reforce as configurações do servidor limitando permissões de escrita e executando serviços com o mínimo de privilégio.
Realize avaliações de vulnerabilidade e gerenciamento de patches regularmente.
Exploit
Correção
RCE
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Monstaftp