CVE-2026-37068
NieznaneStreszczenie
Podatność umożliwia dowolny zapis plików w Veno File Manager 4.4.9. Uwierzytelniony użytkownik z rolą super administratora może nadpisać dowolny plik PHP w aplikacji poprzez specjalnie spreparowane żądanie POST do punktu końcowego tłumaczeń.
Ocena ryzyka
Atakujący z uprawnieniami super administratora może wstrzyknąć złośliwy kod PHP, co może prowadzić do całkowitego przejęcia serwera i naruszenia integralności aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Veno File Manager do najnowszej wersji oraz ograniczenie dostępu do panelu administracyjnego tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Arbitrary file write in /vfm-admin/index.php?section=translations&action=update in Veno File Manager Project 4.4.9 allows an authenticated user with the role of super administrator to overwrite any php file in the application via a specially crafted POST request to the affected endpoint.