Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] QNAP opravuje 27 zraniteľností

QNAP opravuje 27 zraniteľností v rôznych produktoch, z ktorých vybrané najzávažnejšie sú popísané nižšie. Zvyšné nájdete na [1][2][3][4][5][6][7]. Produkty a ich opravené verzie: License Center - 2.0.36 [1] MARS (Multi-Application Recovery Service) - 1.2.1.1686 [2] Qfiling - 3.13.1 [3] Qfinder Pro (macOS) - 7.13.0 [4] Qsync (macOS) - 5.1.5 [4] QTS [5][6] - 5.2.7.3256 build 20250913 - 5.2.8.3332 build 20251128 QuTS hero [5][6] - h5.2.7.3256 build 20250913 - h5.2.8.3321 build 20251117 - h5.3.1.3250 build 20250912 QuMagie - 2.8.1 [7] QVPN Device Client (macOS) - 2.2.8 [4]

Multi-Application Recovery Service - SQL injection (CVE-2025-59387)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je v MARS umožnené vykonať útok SQL injection [2].

Zraniteľnosť sa nachádza v produkte:

  • Multi-Application Recovery Service; >=1.2, <1.2.1.1686;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Viac informácií:

  • CVE-2025-59387 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 2. 1. 2026.

Qfiling - neoprávnené čítanie/zápis (CVE-2025-59384)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok v Qfiling umožnené čítať alebo modifikovať potenciálne citlivé súbory a systémové dáta [3].

Zraniteľnosť sa nachádza v produkte:

  • Qfiling; >=3.13, <3.13.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Viac informácií:

  • CVE-2025-59384 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 2. 1. 2026.

QTS, QuTS hero - neoprávnené čítanie (CVE-2025-54164, CVE-2025-54165, CVE-2025-54166)
CVSS 4.6 (Medium)

Autentizovanému vzdialenému útočníkovi s administrátorským účtom je umožnené čítať potenciálne citlivé dáta za hranicou alokovanej pamäte [5].

Zraniteľnosť sa nachádza v produktoch:

  • QTS; >=5.2, <QTS 5.2.7.3256 build 20250913;
  • QuTS hero; >=h5.2, <h5.2.7.3256 build 20250913; >=h5.3, <h5.3.1.3250 build 20250912

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:U

Viac informácií:

Zraniteľnosť bola verejne oznámená 2. 1. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 7. 1. 2026.

CESNET, z.s.p.o. Logo