CVE-2025-30264
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie poleceń została zgłoszona w kilku wersjach systemu operacyjnego QNAP. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.
Ocena ryzyka
Atakujący z ważnym kontem użytkownika może wykonać dowolne polecenia w systemie QNAP, co może prowadzić do pełnego przejęcia urządzenia i dostępu do przechowywanych danych.
Rekomendacja
Zaktualizuj system QTS do wersji 5.2.5.3145 build 20250526 lub nowszej, a QuTS hero do wersji h5.2.5.3138 build 20250519 lub nowszej. Regularnie przeglądaj konta użytkowników i ograniczaj uprawnienia.
Inne podatności w QNAP QTS/QuTS hero
Zobacz wszystkie- CVE-2020-2509KrytyczneAktywnie exploitowane
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
- CVE-2025-33032Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
- CVE-2025-30273Wysokie
W kilku wersjach systemu operacyjnego QNAP zgłoszono podatność zapisu poza granicami bufora. Zdalny atakujący posiadający konto użytkownika może wykorzystać tę podatność do modyfikacji lub uszkodzenia pamięci.
- CVE-2025-30271Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
- CVE-2025-30270Średnie
W kilku wersjach systemu operacyjnego QNAP wykryto podatność typu path traversal. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do odczytu zawartości nieoczekiwanych plików lub danych systemowych.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains a user account, they can then exploit the vulnerability to execute arbitrary commands. We have already fixed the vulnerability in the following versions: QTS 5.2.5.3145 build 20250526 and later QuTS hero h5.2.5.3138 build 20250519 and later
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS