PT-2026-6595 · Monstra Cms+1 · File Manager+1

CVE-2025-69906 · Publicado 2026-02-05 · Atualizado 2026-02-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Monstra CMS versão 3.0.4

Descrição O plugin Gerenciador de Arquivos do Monstra CMS versão 3.0.4 apresenta um problema que permite o upload de arquivos arbitrários. O aplicativo utiliza uma lista negra para validar extensões de arquivos e armazena os arquivos carregados em um diretório acessível pela web. Isso poderia permitir que um atacante faça o upload de arquivos que são executados como código, resultando em execução remota de código.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-69906

Produtos afetados

File Manager

Monstra Cms

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/69xxx/CVE-2025-69906.json · Exploit
• 🔥 https://github.com/monstra-cms/monstra/tree/master/plugins/box/filesmanager · Exploit
• 🔥 https://github.com/cypherdavy/CVE-2025-69906-Monstra-CMS-3.0.4-Arbitrary-File-Upload-to-RCE · Exploit
• https://twitter.com/TheHackerWire/status/2019808076241768915 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2019472440611529003 · Publicação no Twitter
• https://t.me/cveNotify/151149 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-69906 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-69906 · Nota de Segurança