Veno File Manager Project 4.4.9 の /vfm-admin/ajax/streamvid.php における不適切なアクセス制御により、認証済みの攻撃者は、パスとファイル名を知っている限り、影響を受けるエンドポイントに特別に細工した GET リクエストを送信することで、他のユーザーがアップロードした任意のファイルを読み取ることができます。
https://github.com/user-attachments/assets/f5d44ead-af30-4c88-8e90-ad1e1e4913b5
