Monsta FTP 远程代码执行漏洞CVE-2025-34299

MonstaFTP是一款仅由几个PHP文件组成的在线文件管理系统，该产品可以在服务器上部署，以实现远程主机上的FTP和SFTP文件操作。

一、基本情况

Monsta FTP是一款基于PHP和AJAX开发的轻量级Web端FTP/SFTP文件管理工具，该系统能够支持通过浏览器直接操作远程服务器文件。

Monsta FTP是一款基于浏览器的FTP/SFTP客户端，对于网络连接不稳定的情况，提供稳定的网页端操作界面，让文件管理变得更加便捷。

栋科技漏洞库关注到Monsta FTP版本2.11及更早版本存在一个漏洞，该漏洞现在已经追踪为CVE-2025-34299，漏洞CVSS 4.0评分为9.3。

二、漏洞分析

CVE-2025-34299漏洞是存在于Monsta FTP的远程代码执行（RCE）漏洞，漏洞影响2.11及更早版本，允许未经身份验证的任意文件上传。

该漏洞源于Monsta FTP在处理文件下载操作时，未能正确验证用户提供的文件路径，目前官方已发布修复补丁，建议相关用户立即更新。

攻击者可通过诱导受害者的Monsta FTP实例连接到恶意的SFTP服务器，下载攻击者控制的恶意文件，并将其写入目标服务器的任意路径。

因此，该漏洞使得攻击者能够通过从恶意（S）FTP服务器上传特制的文件，指定下载文件的路径并利用该漏洞在服务器上执行恶意代码。

三、影响范围

2.10.3 <= Monsta FTP <= 2.11.2

四、修复建议

Monsta FTP >= 2.11.3

五、参考链接

管理员已设置登录后刷新可查看