CVE-2026-40530
WysokieCVSS 8.0Streszczenie
Podatność niewłaściwej neutralizacji sekwencji CRLF (CRLF injection) w User API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala zdalnym uwierzytelnionym użytkownikom na odczyt lub zapis dowolnych plików oraz ataki denial-of-service po ponownym uruchomieniu systemu.
Ocena ryzyka
Uwierzytelniony atakujący może manipulować danymi i powodować niedostępność usługi, co może prowadzić do utraty integralności i ciągłości działania systemu.
Rekomendacja
Zaktualizuj Synology DSM do wersji 7.2.1-69057-10, 7.2.2-72806-7, 7.3.2-86009-2 lub nowszej oraz ogranicz uprawnienia kont mających dostęp do User API.
Inne podatności w Synology DiskStation Manager
Zobacz wszystkie- CVE-2026-6205Wysokie
Podatność typu external control of file name or path w Upload API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym uwierzytelnionym użytkownikom na zapis dowolnych plików i przeprowadzanie ataków typu denial-of-service.
- CVE-2026-4036Średnie
Podatność SQL injection w API Sharing w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania dostępu do dowolnych plików udostępnianych.
- CVE-2026-40539Wysokie
Podatność niewłaściwej walidacji certyfikatu w Email API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala atakującym typu man-in-the-middle na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków denial-of-service.
- CVE-2026-40538Niskie
Podatność w funkcji Auto block w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala zdalnym atakującym na odczyt ograniczonych plików poprzez ataki brute-force. Problem wynika z nieprawidłowego ograniczenia liczby prób uwierzytelnienia.
- CVE-2026-40537Średnie
Podatność typu Server-Side Request Forgery (SSRF) w API PersonMail w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40536Średnie
Podatność typu path traversal w API Audio w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40535Średnie
Podatność typu path traversal w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może zapisywać ograniczone pliki i przeprowadzać ograniczone ataki typu denial-of-service.
- CVE-2026-40534Średnie
Podatność typu cross-site scripting (XSS) w API Video w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może odczytywać lub zapisywać ograniczone pliki podczas uruchamiania odtwarzacza.
- CVE-2026-40533Średnie
Podatność polegająca na ujawnieniu wrażliwych informacji poprzez zapytania do danych w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może uzyskać nieistotne informacje.
- CVE-2026-40532Średnie
Podatność typu forced browsing w ścieżce tapety (Wallpaper Path) w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może uzyskać wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of CRLF sequences ('CRLF injection') vulnerability in User API in Synology DiskStation Manager (DSM) before 7.2.1-69057-10, 7.2.2-72806-7 and 7.3.2-86009-2 allows remote authenticated users to read or write arbitrary files and conduct denial-of-service attacks after the system is rebooted.