CVE-2026-37070
NieznaneStreszczenie
Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/streamvid.php w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu odczytanie dowolnych przesłanych plików innych użytkowników, o ile zna ścieżkę i nazwę pliku, poprzez specjalnie spreparowane żądanie GET do punktu końcowego.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików innych użytkowników, co może prowadzić do wycieku danych i naruszenia prywatności.
Rekomendacja
Zaktualizuj Veno File Manager do najnowszej wersji z poprawką i wdróż odpowiednie mechanizmy autoryzacji dostępu do plików.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in /vfm-admin/ajax/streamvid.php in Veno File Manager Project in 4.4.9 allows an authenticated attacker to read any uploaded files by other users as long as it knows the path and filename via a specially crafted GET request to the affected endpoint.