Exploit for CVE-2026-37065

kitploit · 2026-09-06

Description

Arbitrary file deletion in Veno File Manager 4.4.9 via remove parameter stops application.

Entry point

Parameterremove · query param

Path/vfm-admin/index.php?section=translations&action=update&remove=

Authenticated superadmin can trigger arbitrary file deletion via the remove query parameter in the translations update endpoint.

CVSS 9.1 for CVE-2026-37065

9.1

HIGH SEVERITY

Version 3.1

VectorCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Attack Vector:NETWORK

Attack Complexity:LOW

Privileges Required:NONE

User Interaction:NONE

Scope:UNCHANGED

Confidentiality:NONE

Integrity:HIGH

Availability:HIGH

EPSS Score

0.4%higher than 28.0% of all CVEs

Updated 2026-09-04

CVE Information

CVE-2026-37065

References

https://github.com/user-attachments/assets/5fcf2bd6-cdb3-4758-8d2d-aa491eaadab3

Exploit Details

Modified:2026-09-06 16:29

Last Seen:2026-09-06 20:24

Reporter:KitPloit

Other exploits for CVE-2026-37065

Exploit for CVE-2026-37065

2026-06-15 jfs-jfsGITHUB

Exploit Code

MARKDOWN8 lines

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-JFS-JFS-CVE-2026-37065
# CVE-2026-37065

Veno File Manager Project 4.4.9 मनमानी फ़ाइल हटाने की कमज़ोरी से ग्रस्त है।

इस कमज़ोरी का शोषण करने के लिए, एक प्रमाणित हमलावर जो सुपरएडमिन की भूमिका में है, url पैरामीटर remove का उपयोग करके प्रभावित एंडपॉइंट पर एक विशेष रूप से तैयार POST अनुरोध भेज सकता है, जिसे हटाने वाली फ़ाइल को नियंत्रित किया जा सके। किसी उपयोगकर्ता के हस्तक्षेप की आवश्यकता नहीं है। यदि हटाई गई फ़ाइलें, उदाहरण के लिए, रूट index.php हैं, तो एप्लिकेशन काम करना बंद कर देता है।

https://github.com/user-attachments/assets/5fcf2bd6-cdb3-4758-8d2d-aa491eaadab3

Exploit Code

Share

Share on social media: