Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je v QNAP Photo Station umožnené vykonať XSS útok [13][1][2][3][4].

Zraniteľnosť sa nachádza v produkte:

• QNAP Photo Station; >=6.4, <6.4.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

Viac informácií:

• CVE-2024-32767 na cve.org, NVD
• CVE-2024-32768 na cve.org, NVD
• CVE-2024-32769 na cve.org, NVD
• CVE-2024-32770 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v QNAP QuRouter umožnené neoprávnene vykonávať príkazy [14][5][6].

Zraniteľnosť sa nachádza v produkte:

• QNAP QuRouter; >=2.4, <2.4.3.106;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-48860 na cve.org, NVD
• CVE-2024-48861 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v QNAP Notes Station 3 umožnené neoprávnene pristupovať ku kritickej funkcionalite, pomocou ktorej môže získať prístup do systému postihnutého stroja [15][7].

Zraniteľnosť sa nachádza v produkte:

• QNAP Notes Station 3; >=3.9, <3.9.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-38643 na cve.org, NVD
• CWE-306: Missing Authentication for Critical Function na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v QNAP Notes Station 3 umožnené spúšťať ľubovolné príkazy v operačnom systéme postihnutého stroja [15][8].

Zraniteľnosť sa nachádza v produkte:

• QNAP Notes Station 3; >=3.9, <3.9.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-38644 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v QNAP QuLog Center umožnené neoprávnene pristupovať do ľubovolných lokácií na súborovom systéme [16][9].

Zraniteľnosť sa nachádza v produkte:

• QNAP QuLog Center; >=1.7, <1.7.0.831; >=1.8, <1.8.0.888;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-48862 na cve.org, NVD
• CWE-59: Improper Link Resolution Before File Access ('Link Following') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v QNAP AI Core umožnené obísť zabezpečenie systému [17][10].

Zraniteľnosť sa nachádza v produkte:

• QNAP AI Core; >=3.4, <3.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Viac informácií:

• CVE-2024-38647 na cve.org, NVD
• CWE-540: Inclusion of Sensitive Information in Source Code na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v QNAP QTS a Quts Hero umožnené pristupovať k potenciálne citlivým dátam a prepisovať údaje v pamäti [18][12].

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-50397 na cve.org, NVD
• CWE-134: Use of Externally-Controlled Format String na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v QNAP QTS a Quts Hero umožnené pristupovať k potenciálne citlivým dátam a prepisovať údaje v pamäti [18][11].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-50396 na cve.org, NVD
• CWE-134: Use of Externally-Controlled Format String na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 11. 2024.