CVE-2026-37073
NieznaneStreszczenie
Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/sendfiles.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu wysyłanie wiadomości e-mail z skonfigurowanego serwera SMTP aplikacji poprzez wysłanie żądania POST do punktu końcowego z odpowiednimi parametrami i nagłówkiem.
Ocena ryzyka
Atakujący może wykorzystać serwer SMTP do wysyłania spamu lub phishingu, co może zaszkodzić reputacji organizacji i narazić użytkowników na ataki.
Rekomendacja
Zaktualizuj Veno File Manager do najnowszej wersji z poprawką i ogranicz dostęp do punktu końcowego sendfiles.php.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in /vfm-admin/ajax/sendfiles.php in Veno File Manager Project 4.4.9 allows an unauthenticated attacker to send emails from the configured SMPT server on the application via making a POST request to the endpoint with needed parameters and header.