CVE-2026-13623
ŚrednieCVSS 4.8Streszczenie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.
Ocena ryzyka
Administrator atakujący może wykorzystać XSS do odczytu lub modyfikacji ograniczonych plików, co może prowadzić do naruszenia poufności i integralności danych. Wymaga to jednak posiadania konta z uprawnieniami administratora.
Rekomendacja
Zaktualizuj Synology DSM do wersji 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 lub nowszej. Zasada minimalnych uprawnień — ogranicz liczbę kont administratora.
Inne podatności w Synology DiskStation Manager (DSM)
Zobacz wszystkie- CVE-2026-13635Średnie
Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.
- CVE-2017-15889Wysokie
W systemie Synology DiskStation Manager (DSM) przed wersją 5.2-5967-5 występuje podatność na wstrzykiwanie poleceń w pliku smart.cgi, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą pola dysku.
- CVE-2026-13684Krytyczne
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13639Krytyczne
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of input during web page generation ('Cross-site Scripting') vulnerability in Theme API in Synology DiskStation Manager (DSM) before 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 and 7.4-90075 allows remote authenticated users with administrator privileges to read or write limited files.