CVE-2026-37064
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w enumeracji użytkowników w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na sprawdzenie, czy dany użytkownik istnieje w aplikacji. Wysyłając specjalnie spreparowane żądanie POST z wybranym parametrem 'user_name', atakujący może potwierdzić istnienie konta.
Ocena ryzyka
Enumeracja użytkowników ułatwia ataki brute-force i phishing, ponieważ atakujący zna prawidłowe nazwy użytkowników, co zwiększa ryzyko nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację Veno File Manager oraz wdrożenie mechanizmów ograniczających odpowiedzi serwera, aby nie ujawniać istnienia użytkowników.
Inne podatności w Veno File Manager
Zobacz wszystkie- CVE-2026-37072Krytyczne
Veno File Manager Project 4.4.9 jest podatny na nieprawidłową kontrolę dostępu w pliku admin-head-updates.php.
- CVE-2026-37071Krytyczne
Dowolna zmiana nazwy pliku prowadząca do eskalacji uprawnień w funkcji Actions::renameFile() w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu z uprawnieniem 'rename' przejęcie konta super administratora poprzez specjalnie spreparowane żądanie POST do punktu końcowego, zmieniające nazwę pliku konfiguracyjnego aplikacji i wyzwalające przebudowę konfiguracji oraz zresetowanie poświadczeń super administratora do wartości domyślnych.
- CVE-2026-37065Krytyczne
Veno File Manager 4.4.9 jest podatny na dowolne usuwanie plików w punkcie końcowym tłumaczeń. Atakujący może usunąć dowolny plik w aplikacji, wykorzystując parametr 'remove' w żądaniu.
- CVE-2026-37073Średnie
Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/sendfiles.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu wysyłanie wiadomości e-mail z skonfigurowanego serwera SMTP aplikacji poprzez wysłanie żądania POST do punktu końcowego z odpowiednimi parametrami i nagłówkiem.
- CVE-2026-37070Średnie
Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/streamvid.php w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu odczytanie dowolnych przesłanych plików innych użytkowników, o ile zna ścieżkę i nazwę pliku, poprzez specjalnie spreparowane żądanie GET do punktu końcowego.
- CVE-2026-37069Średnie
Ujawnienie ścieżki bezwzględnej w /vfm-admin/assets/zipstream/grandt/relativepath/RelativePath.Example1.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu poznanie katalogu systemowego, w którym działa kod aplikacji, poprzez wysłanie żądania GET do punktu końcowego.
- CVE-2026-37068Wysokie
Podatność umożliwia dowolny zapis plików w Veno File Manager 4.4.9. Uwierzytelniony użytkownik z rolą super administratora może nadpisać dowolny plik PHP w aplikacji poprzez specjalnie spreparowane żądanie POST do punktu końcowego tłumaczeń.
- CVE-2026-37067Średnie
Podatność w kontroli dostępu w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na wyodrębnienie wszystkich logów aplikacji od wybranej daty w przyszłości. Dzieje się to poprzez specjalnie spreparowane żądanie POST do pliku save-cvs.php.
- CVE-2026-37066Średnie
Podatność typu path traversal w Veno File Manager 4.4.9 umożliwia odczyt dowolnych plików. Uwierzytelniony atakujący z rolą super administratora może ujawnić wrażliwe informacje poprzez dwa specjalnie spreparowane żądania HTTP (POST i GET) do punktów końcowych index.php i streamvid.php.
Oryginalny opis (angielski, źródło NVD)
User enumeration in /vfm-admin/ajax/usr-check.php in Veno File Manager Project 4.4.9 allows an unauthenticated attacker to enumerate the application users via sending a specially crafted POST request to the affected endpoint with a chosen 'user_name' parameter to test if the user exists.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS