Veno File Manager Project 4.4.9 の Actions::renameFile() 関数における任意ファイル名変更による権限昇格の脆弱性により、'rename' 権限を持つ認証済み攻撃者が、特別に細工した POST リクエストを該当エンドポイントに送信してアプリケーション設定ファイルの名前を変更し、設定の再構築を引き起こしてスーパー管理者の認証情報をデフォルト値にリセットすることで、スーパー管理者アカウントを乗っ取ることが可能です。
https://github.com/user-attachments/assets/c729b835-3285-4853-8fe2-a485bc88ab79
