CVE-2017-15889
WysokieStreszczenie
W systemie Synology DiskStation Manager (DSM) przed wersją 5.2-5967-5 występuje podatność na wstrzykiwanie poleceń w pliku smart.cgi, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą pola dysku.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do systemu oraz wykonania złośliwego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację Synology DiskStation Manager do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do interfejsu zarządzania tylko dla zaufanych użytkowników.
Inne podatności w Synology DiskStation Manager (DSM)
Zobacz wszystkie- CVE-2026-13635Średnie
Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.
- CVE-2026-13623Średnie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.
- CVE-2026-13684Krytyczne
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13639Krytyczne
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Command injection vulnerability in smart.cgi in Synology DiskStation Manager (DSM) before 5.2-5967-5 allows remote authenticated users to execute arbitrary commands via disk field.