CVE-2025-62847
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność polegająca na nieprawidłowej neutralizacji separatorów argumentów w poleceniu w systemach operacyjnych QNAP. Zdalny atakujący może wykorzystać tę podatność do zmiany logiki wykonywania poleceń.
Ocena ryzyka
Atakujący może zmienić logikę wykonywania poleceń, co może prowadzić do nieautoryzowanych działań na systemie, naruszenia integralności i potencjalnie eskalacji uprawnień.
Rekomendacja
Zaktualizuj system QNAP do wersji wskazanej w opisie lub nowszej, aby naprawić podatność.
Inne podatności w QNAP OS
Zobacz wszystkie- CVE-2025-9110Wysokie
Podatność polegająca na ujawnieniu wrażliwych informacji systemowych nieupoważnionej sferze kontroli dotyczy kilku wersji systemów operacyjnych QNAP. Zdalny atakujący może wykorzystać tę podatność do odczytu danych aplikacji. Poprawki zostały wydane w wersjach QTS 5.2.8.3332 build 20251128 i nowszych oraz QuTS hero h5.2.8.3321 build 20251117 i nowszych, a także QuTS hero h5.3.1.3250 build 20250912 i nowszych.
- CVE-2025-52872Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-52864Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-52863Wysokie
W systemach operacyjnych QNAP występuje podatność na przepełnienie bufora. Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów.
- CVE-2025-62849Krytyczne
Podatność SQL injection została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Zdalni atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanego kodu lub poleceń. Poprawki zostały już wydane w wersjach QTS 5.2.7.3297 build 20251024 i nowszych, QuTS hero h5.2.7.3297 build 20251024 i nowszych oraz QuTS hero h5.3.1.3292 build 20251024 i nowszych.
- CVE-2025-59385Krytyczne
Podatność obejścia uwierzytelniania przez spoofing została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Zdalni atakujący mogą wykorzystać tę podatność do uzyskania dostępu do zasobów, które nie są dostępne bez odpowiedniego uwierzytelnienia. Poprawki zostały już wydane w wersjach QTS 5.2.7.3297 build 20251024 i nowszych, QuTS hero h5.2.7.3297 build 20251024 i nowszych oraz QuTS hero h5.3.1.3292 build 20251024 i nowszych.
- CVE-2026-24716Wysokie
Podatność polegająca na dereferencji wskaźnika NULL w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykorzystać tę lukę do przeprowadzenia ataku typu DoS (odmowa usługi).
- CVE-2025-66281Wysokie
W systemach operacyjnych QNAP (QTS i QuTS hero) wykryto podatność na dereferencję wskaźnika NULL. Zdalny atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu DoS (odmowa usługi).
- CVE-2025-66280Wysokie
Podatność przepełnienia liczb całkowitych (integer overflow) została zgłoszona w kilku wersjach systemów operacyjnych QNAP. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać tę podatność do naruszenia bezpieczeństwa systemu. Problem został naprawiony w wersjach: QTS 5.2.9.3410 build 20260214 i nowszych, QuTS hero h5.2.9.3410 build 20260214 i nowszych, QuTS hero h5.3.4.3500 build 20260520 i nowszych, QuTS hero h6.0.0.3397 build 20260206 i nowszych.
- CVE-2025-66279Wysokie
Podatność na wstrzykiwanie poleceń w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykonać dowolne polecenia.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of argument delimiters in a command vulnerability has been reported to affect several QNAP operating system versions. The remote attackers can then exploit the vulnerability to alter execution logic. We have already fixed the vulnerability in the following versions: QTS 5.2.7.3297 build 20251024 and later QuTS hero h5.2.7.3297 build 20251024 and later QuTS hero h5.3.1.3292 build 20251024 and later
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS