CVE-2026-37064
NieznaneStreszczenie
Podatność w enumeracji użytkowników w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na sprawdzenie, czy dany użytkownik istnieje w aplikacji. Wysyłając specjalnie spreparowane żądanie POST z wybranym parametrem 'user_name', atakujący może potwierdzić istnienie konta.
Ocena ryzyka
Enumeracja użytkowników ułatwia ataki brute-force i phishing, ponieważ atakujący zna prawidłowe nazwy użytkowników, co zwiększa ryzyko nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację Veno File Manager oraz wdrożenie mechanizmów ograniczających odpowiedzi serwera, aby nie ujawniać istnienia użytkowników.
Oryginalny opis (angielski, źródło NVD)
User enumeration in /vfm-admin/ajax/usr-check.php in Veno File Manager Project 4.4.9 allows an unauthenticated attacker to enumerate the application users via sending a specially crafted POST request to the affected endpoint with a chosen 'user_name' parameter to test if the user exists.