Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] QNAP opravuje 27 zraniteľností
QNAP opravuje 27 zraniteľností v rôznych produktoch. Vybrané zraniteľnosti sú popísané nižšie, zvyšné nájdete na [1] po rozkliknutí jednotlivých varovaní. Produkty a ich opravené verzie: Hyper Data Protector - 2.2.4.1 [2] HBS 3 Hybrid Backup Sync - 26.2.0.938 [3] QTS - 5.2.7.3297 build 20251024 [4] QuTS hero - h5.2.7.3297 build 20251024, h5.3.1.3292 build 20251024 [4] Malware Remover - 6.6.8.20251023 [5] QuMagie - 2.7.0 [6], 2.7.3 [7] QuLog Center - 1.8.2.923 [8] Notification Center - 1.9.2.3163, 2.1.0.3443, 3.0.0.3466 [9] Qsync Central - 5.0.0.3 [10] Download Station - 5.10.0.304, 5.10.0.305 [11] File Station 5 - 5.5.6.5018 [12]
Neautentizovanému vzdialenému útočníkovi je v dôsledku zraniteľnosti typu SQL injection v produkte QuMagie umožnené spúšťať ľubovoľný kód alebo príkazy [6].
Zraniteľnosť sa nachádza v produkte:
- QuMagie; >=2.6.0, <2.7.0
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Viac informácií:
- CVE-2025-52425 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 11. 2025.
Neautentizovanému vzdialenému útočníkovi je v dôsledku zraniteľnosti typu path traversal v produkte QuMagie umožnené čítať obsah ľubovoľných súborov alebo systémových údajov [7].
Zraniteľnosť sa nachádza v produkte:
- QuMagie; >=2.7.0, <2.7.3
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
Viac informácií:
- CVE-2025-58464 na cve.org, NVD
- CWE-23: Relative Path Traversal na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 11. 2025.
Autentizovanému vzdialenému útočníkovi s prístupom k účtu správcu je v produkte Notification Center umožnené obísť bezpečnostné mechanizmy alebo čítať údaje aplikácie [9].
Zraniteľnosť sa nachádza v produkte:
- Notification Center; >=1.9.0, <1.9.2.3163; >=2.1.0, <2.1.0.3443; >=3.0.0, <3.0.0.3466
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:U
Viac informácií:
- CVE-2025-54167 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 11. 2025.
Odkazy
- [1] https://www.qnap.com/en/security-advisories
- [2] https://www.qnap.com/en/security-advisory/qsa-25-48
- [3] https://www.qnap.com/en/security-advisory/qsa-25-46
- [4] https://www.qnap.com/en/security-advisory/qsa-25-45
- [5] https://www.qnap.com/en/security-advisory/qsa-25-47
- [6] https://www.qnap.com/en/security-advisory/qsa-25-33
- [7] https://www.qnap.com/en/security-advisory/qsa-25-43
- [8] https://www.qnap.com/en/security-advisory/qsa-25-42
- [9] https://www.qnap.com/en/security-advisory/qsa-25-40
- [10] https://www.qnap.com/en/security-advisory/qsa-25-41
- [11] https://www.qnap.com/en/security-advisory/qsa-25-37
- [12] https://www.qnap.com/en/security-advisory/qsa-25-38
Za CESNET, z.s.p.o. Michaela Jarošová dňa 12. 11. 2025.