CVE-2018-6383

EPSS 13.5%

Vexday Risk Score

28Bajo

Decisión SSVC (CISA)

Attend

PoC disponible → seguir de cerca

Madurez del exploit

Prueba de concepto

Existe prueba de concepto pública, pero aún no automatizada.

CVSS —EPSS 13.5%KEV nãoPoC públicaNuclei —Metasploit —Patch —

Ciclo de vida

29 ene 2018Publicada en NVD

04 jun 2021PoC pública

Velocidad de armamento

1221 díashasta el primer PoC

Recomendación: Planificar corrección próxima — ya existe PoC pública.

Monstra CMS through 3.0.4 has an incomplete "forbidden types" list that excludes .php (and similar) file extensions but not the .pht or .phar extension, which allows remote authenticated Admins or Editors to execute arbitrary PHP code by uploading a file, a different vulnerability than CVE-2017-18048.

Productos afectados

n/a · n/a

PoCs públicas encontradas — 2

cve_referencepacketstormsecurity.com/files/162968/Monstra-CMS-3.0.4-Remote-Code-Execution.htmlno verificado exploitdbwww.exploit-db.com/exploits/49949no verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

Referencias

http://packetstormsecurity.com/files/162968/Monstra-CMS-3.0.4-Remote-Code-Execution.html https://github.com/Hacker5preme/Exploits/tree/main/CVE-2018-6383-Exploit https://github.com/monstra-cms/monstra/issues/429