CVE-2026-37068

Veno File Manager Project 4.4.9 jest podatny na nieprawidłową kontrolę dostępu w pliku admin-head-updates.php.

Dowolna zmiana nazwy pliku prowadząca do eskalacji uprawnień w funkcji Actions::renameFile() w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu z uprawnieniem 'rename' przejęcie konta super administratora poprzez specjalnie spreparowane żądanie POST do punktu końcowego, zmieniające nazwę pliku konfiguracyjnego aplikacji i wyzwalające przebudowę konfiguracji oraz zresetowanie poświadczeń super administratora do wartości domyślnych.

Veno File Manager 4.4.9 jest podatny na dowolne usuwanie plików w punkcie końcowym tłumaczeń. Atakujący może usunąć dowolny plik w aplikacji, wykorzystując parametr 'remove' w żądaniu.

Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/sendfiles.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu wysyłanie wiadomości e-mail z skonfigurowanego serwera SMTP aplikacji poprzez wysłanie żądania POST do punktu końcowego z odpowiednimi parametrami i nagłówkiem.

Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/streamvid.php w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu odczytanie dowolnych przesłanych plików innych użytkowników, o ile zna ścieżkę i nazwę pliku, poprzez specjalnie spreparowane żądanie GET do punktu końcowego.

Ujawnienie ścieżki bezwzględnej w /vfm-admin/assets/zipstream/grandt/relativepath/RelativePath.Example1.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu poznanie katalogu systemowego, w którym działa kod aplikacji, poprzez wysłanie żądania GET do punktu końcowego.

Podatność w kontroli dostępu w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na wyodrębnienie wszystkich logów aplikacji od wybranej daty w przyszłości. Dzieje się to poprzez specjalnie spreparowane żądanie POST do pliku save-cvs.php.

Podatność typu path traversal w Veno File Manager 4.4.9 umożliwia odczyt dowolnych plików. Uwierzytelniony atakujący z rolą super administratora może ujawnić wrażliwe informacje poprzez dwa specjalnie spreparowane żądania HTTP (POST i GET) do punktów końcowych index.php i streamvid.php.

Podatność w enumeracji użytkowników w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na sprawdzenie, czy dany użytkownik istnieje w aplikacji. Wysyłając specjalnie spreparowane żądanie POST z wybranym parametrem 'user_name', atakujący może potwierdzić istnienie konta.