CVE-2026-37071
NieznaneStreszczenie
Dowolna zmiana nazwy pliku prowadząca do eskalacji uprawnień w funkcji Actions::renameFile() w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu z uprawnieniem 'rename' przejęcie konta super administratora poprzez specjalnie spreparowane żądanie POST do punktu końcowego, zmieniające nazwę pliku konfiguracyjnego aplikacji i wyzwalające przebudowę konfiguracji oraz zresetowanie poświadczeń super administratora do wartości domyślnych.
Ocena ryzyka
Przejęcie konta super administratora może prowadzić do całkowitej kompromitacji aplikacji i danych, co może mieć poważne konsekwencje dla organizacji.
Rekomendacja
Zaktualizuj Veno File Manager do najnowszej wersji z poprawką i ogranicz uprawnienia 'rename' tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Arbitrary File Rename Leading to Privilege Escalation in Actions::renameFile() function in Veno File Manager Project 4.4.9 allows an authenticated attacker with 'reanme' permission to take over the super administrator account via a specially crafted POST request to the affected endpoint renaming the application configuration file and triggering a rebuild of configuration and resetting super administrator credentials to default values.