[TLP:CLEAR] Synology Chat Server opravuje 3 zranitelnosti

Synology verzí 2.4.5-22148 opravuje 3 zranitelnosti v produktu Synology Chat Server [1].

Synology Chat Server - arbitrary file read/write, DoS (CVE-2026-40541)
CVSS 9.0 (Critical)

Autentizovanému vzdálenému útočníkovi je prostřednictvím zranitelnosti typu XSS umožněno číst nebo zapisovat libovolné soubory a vykonat útok DoS [1].

Zranitelnost se nachází v produktu:

  • Synology Chat Server (DSM); =7.3; =7.2.2; =7.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2026-40541 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 5. 2026.

Synology Chat Server - arbitrary file read/write, DoS (CVE-2026-9548)
CVSS 6.5 (Medium)

Autentizovanému vzdálenému útočníkovi je prostřednictvím zranitelnosti typu XSS umožněno číst nebo zapisovat vybrané soubory a v omezeném rozsahu vykonat útok DoS [1].

Zranitelnost se nachází v produktu:

  • Synology Chat Server (DSM); =7.3; =7.2.2; =7.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L

Více informací:

  • CVE-2026-9548 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 5. 2026.

Synology Chat Server - information disclosure (CVE-2026-9491)
CVSS 4.3 (Medium)

Autentizovanému vzdálenému útočníkovi je prostřednictvím zranitelnosti typu SSRF umožněno získat informace ze serveru [1].

Zranitelnost se nachází v produktu:

  • Synology Chat Server (DSM); =7.3; =7.2.2; =7.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 26. 5. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dne 5. 6. 2026.

CESNET, z.s.p.o. Logo