CVE-2024-5401
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W komponencie WebAPI w Synology DiskStation Manager (DSM) przed wersjami 7.1.1-42962-8, 7.2.1-69057-2 i 7.2.2-72806 oraz Synology Unified Controller (DSMUC) przed wersją 3.1.4-23079 występuje podatność niewłaściwej kontroli dynamicznie zarządzanych zasobów kodu. Umożliwia ona zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień bez zgody poprzez nieokreślone wektory.
Ocena ryzyka
Zdalny uwierzytelniony użytkownik może uzyskać wyższe uprawnienia bez autoryzacji, co może prowadzić do nieautoryzowanego dostępu do funkcji administracyjnych. Ryzyko jest wysokie w środowiskach z dostępem do WebAPI.
Rekomendacja
Zaktualizować DSM do wersji 7.1.1-42962-8, 7.2.1-69057-2, 7.2.2-72806 lub nowszej oraz DSMUC do wersji 3.1.4-23079 lub nowszej. Ograniczyć dostęp do WebAPI do zaufanych sieci.
Inne podatności w Synology DiskStation Manager (DSM)
Zobacz wszystkie- CVE-2017-15889Wysokie
W systemie Synology DiskStation Manager (DSM) przed wersją 5.2-5967-5 występuje podatność na wstrzykiwanie poleceń w pliku smart.cgi, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą pola dysku.
- CVE-2026-13684Krytyczne
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13639Krytyczne
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13635Średnie
Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.
- CVE-2026-13623Średnie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.
Oryginalny opis (angielski, źródło NVD)
Improper control of dynamically-managed code resources vulnerability in WebAPI component in Synology DiskStation Manager (DSM) before 7.1.1-42962-8 and 7.2.1-69057-2 and 7.2.2-72806 and Synology Unified Controller (DSMUC) before 3.1.4-23079 allows remote authenticated users to obtain privileges without consent via unspecified vectors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS