CVE-2018-6383

EPSS 13.5%

Vexday Risk Score

28Baixo

Decisão SSVC (CISA)

Attend

PoC disponível → acompanhar de perto

Maturidade do exploit

Prova de conceito

Existe prova de conceito pública, mas ainda não automatizada.

CVSS —EPSS 13.5%KEV nãoPoC públicaNuclei —Metasploit —Patch —

Ciclo de vida

29 jan 2018Publicada no NVD

04 jun 2021PoC pública

Velocidade de armamento

1221 diasaté o primeiro PoC

Recomendação: Planejar correção próxima — já existe PoC pública.

Monstra CMS through 3.0.4 has an incomplete "forbidden types" list that excludes .php (and similar) file extensions but not the .pht or .phar extension, which allows remote authenticated Admins or Editors to execute arbitrary PHP code by uploading a file, a different vulnerability than CVE-2017-18048.

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 2

cve_referencepacketstormsecurity.com/files/162968/Monstra-CMS-3.0.4-Remote-Code-Execution.htmlnão verificado exploitdbwww.exploit-db.com/exploits/49949não verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Referências

http://packetstormsecurity.com/files/162968/Monstra-CMS-3.0.4-Remote-Code-Execution.html https://github.com/Hacker5preme/Exploits/tree/main/CVE-2018-6383-Exploit https://github.com/monstra-cms/monstra/issues/429