Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] QNAP opravuje 17 zraniteľností

QNAP opravuje 17 zraniteľností vo svojich produktoch. Vybrané zraniteľnosti sú opísané nižšie, zvyšné nájdete na [1][2]. Produkty a ich opravené verzie: QuMagie - 2.9.1, 2.10.0 [1] License Center - 2.0.42 [1] QVP - 2.8.0 [2] QTS - 5.2.10 [2] QuTS cloud - C5.2.9 [2] QuTS hero - h5.2.9 [2]

QuMagie - únik informácií (CVE-2026-44083)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole prístupu v aplikácii QuMagie umožnené pristupovať k uloženým mediálnym súborom a archívom albumov, a tým získať citlivé informácie [1].

Zraniteľnosť sa nachádza v produkte:

  • QuMagie; >=2.8.2, <2.9.1; >=2.9.0, <2.10.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 6. 2026.

QuMagie - únik informácií (CVE-2026-26236)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole prístupu pred autentizáciou v aplikácii QuMagie umožnené pristupovať k uloženým mediálnym súborom, a tým získať citlivé informácie [1].

Zraniteľnosť sa nachádza v produkte:

  • QuMagie; >=2.8.2, <2.9.1; >=2.9.0, <2.10.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 6. 2026.

QuMagie - únik informácií (CVE-2026-26237)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole prístupu pred autentizáciou v aplikácii QuMagie umožnené získať prístup k náhľadom rozpoznaných tvárí a titulným obrázkom priečinkov, a tým získať citlivé informácie [3].

Zraniteľnosť sa nachádza v produkte:

  • QuMagie; >=2.8.2, <2.9.1; >=2.9.0, <2.10.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 6. 2026.

QTS, QuTS hero, QuTS cloud, QVP - injekcia príkazov (CVE-2025-66273)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je kvôli nedostatočnej validácii parametra používateľského mena umožnené prostredníctvom command injection spustiť ľubovoľné systémové príkazy na zariadení NAS [2].

Zraniteľnosť sa nachádza v produktoch:

  • QVP; >=2.7.1, <2.8.0
  • QTS; >=5.2.7, <5.2.10
  • QuTS cloud; >=c5.2.8, <c5.2.9
  • QuTS hero; >=h5.2.8, <h5.2.9

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-66273 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 6. 2026.

QTS, QuTS hero, QuTS cloud, QVP - injekcia príkazov (CVE-2025-66279)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je prostredníctvom command injection v API na odstraňovanie používateľov umožnené spustiť ľubovoľné systémové príkazy na zariadení NAS [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-66279 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 17. 6. 2026.

CESNET, z.s.p.o. Logo