CVE-2026-13684
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików, modyfikować je lub zakłócić dostępność usług NAS. Może to prowadzić do wycieku danych i przerw w działaniu infrastruktury przechowywania.
Rekomendacja
Zaktualizuj Synology DSM do wersji 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 lub nowszej. Ogranicz dostęp do interfejsu SCGI z niezaufanych sieci.
Inne podatności w Synology DiskStation Manager (DSM)
Zobacz wszystkie- CVE-2017-15889Wysokie
W systemie Synology DiskStation Manager (DSM) przed wersją 5.2-5967-5 występuje podatność na wstrzykiwanie poleceń w pliku smart.cgi, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą pola dysku.
- CVE-2026-13639Krytyczne
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13635Średnie
Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.
- CVE-2026-13623Średnie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.
- CVE-2024-5401Średnie
W komponencie WebAPI w Synology DiskStation Manager (DSM) przed wersjami 7.1.1-42962-8, 7.2.1-69057-2 i 7.2.2-72806 oraz Synology Unified Controller (DSMUC) przed wersją 3.1.4-23079 występuje podatność niewłaściwej kontroli dynamicznie zarządzanych zasobów kodu. Umożliwia ona zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień bez zgody poprzez nieokreślone wektory.
Oryginalny opis (angielski, źródło NVD)
An improper encoding or escaping of output vulnerability in SCGI in Synology DiskStation Manager (DSM) before 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 and 7.4-90075 allows remote attackers to read or write arbitrary files and conduct denial-of-service attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS