CVE-2026-13666
NiskieCVSS 3.5Streszczenie
Podatność CRLF Injection w API Sharing w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym uwierzytelnionym użytkownikom na zapis ograniczonych plików, gdy ofiara kliknie w link udostępniania.
Ocena ryzyka
Atakujący może manipulować treścią odpowiedzi HTTP, co może prowadzić do nieautoryzowanego zapisu plików w systemie.
Rekomendacja
Zaktualizuj Synology DSM do wersji zawierającej poprawkę dla tej podatności.
Inne podatności w Synology DiskStation Manager
Zobacz wszystkie- CVE-2026-6205Wysokie
Podatność typu external control of file name or path w Upload API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym uwierzytelnionym użytkownikom na zapis dowolnych plików i przeprowadzanie ataków typu denial-of-service.
- CVE-2026-4036Średnie
Podatność SQL injection w API Sharing w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania dostępu do dowolnych plików udostępnianych.
- CVE-2026-40539Wysokie
Podatność niewłaściwej walidacji certyfikatu w Email API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala atakującym typu man-in-the-middle na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków denial-of-service.
- CVE-2026-40538Niskie
Podatność w funkcji Auto block w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala zdalnym atakującym na odczyt ograniczonych plików poprzez ataki brute-force. Problem wynika z nieprawidłowego ograniczenia liczby prób uwierzytelnienia.
- CVE-2026-40537Średnie
Podatność typu Server-Side Request Forgery (SSRF) w API PersonMail w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40536Średnie
Podatność typu path traversal w API Audio w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40535Średnie
Podatność typu path traversal w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może zapisywać ograniczone pliki i przeprowadzać ograniczone ataki typu denial-of-service.
- CVE-2026-40534Średnie
Podatność typu cross-site scripting (XSS) w API Video w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może odczytywać lub zapisywać ograniczone pliki podczas uruchamiania odtwarzacza.
- CVE-2026-40533Średnie
Podatność polegająca na ujawnieniu wrażliwych informacji poprzez zapytania do danych w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może uzyskać nieistotne informacje.
- CVE-2026-40532Średnie
Podatność typu forced browsing w ścieżce tapety (Wallpaper Path) w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może uzyskać wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of CRLF sequences ('CRLF Injection') vulnerability in Sharing API in Synology DiskStation Manager (DSM) before 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 and 7.4-90075 allows remote authenticated users to write limited files when a victim clicks a sharing URL.