CVE-2026-13639
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
Ocena ryzyka
Słaba entropia w mechanizmie logowania może umożliwić przewidzenie wartości sesji lub tokenów, co prowadzi do nieautoryzowanego dostępu. Konsekwencją może być wyciek danych i zakłócenie dostępności usług.
Rekomendacja
Zaktualizuj Synology DSM do wersji 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 lub nowszej. Rozważ wymuszenie silniejszych mechanizmów uwierzytelniania i monitorowanie nietypowych prób logowania.
Inne podatności w Synology DiskStation Manager (DSM)
Zobacz wszystkie- CVE-2017-15889Wysokie
W systemie Synology DiskStation Manager (DSM) przed wersją 5.2-5967-5 występuje podatność na wstrzykiwanie poleceń w pliku smart.cgi, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą pola dysku.
- CVE-2026-13684Krytyczne
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13635Średnie
Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.
- CVE-2026-13623Średnie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.
- CVE-2024-5401Średnie
W komponencie WebAPI w Synology DiskStation Manager (DSM) przed wersjami 7.1.1-42962-8, 7.2.1-69057-2 i 7.2.2-72806 oraz Synology Unified Controller (DSMUC) przed wersją 3.1.4-23079 występuje podatność niewłaściwej kontroli dynamicznie zarządzanych zasobów kodu. Umożliwia ona zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień bez zgody poprzez nieokreślone wektory.
Oryginalny opis (angielski, źródło NVD)
An insufficient entropy vulnerability in login logic in Synology DiskStation Manager (DSM) before 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 and 7.4-90075 allows remote attackers to read or write arbitrary files and conduct denial-of-service attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS