CVE-2026-40534
ŚrednieCVSS 5.4Streszczenie
Podatność typu cross-site scripting (XSS) w API Video w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może odczytywać lub zapisywać ograniczone pliki podczas uruchamiania odtwarzacza.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w kontekście przeglądarki ofiary, co może prowadzić do nieautoryzowanego dostępu do plików lub manipulacji nimi.
Rekomendacja
Zaktualizuj Synology DSM do wersji z poprawką oraz rozważ filtrowanie danych wejściowych w API Video.
Inne podatności w Synology DiskStation Manager
Zobacz wszystkie- CVE-2026-6205Wysokie
Podatność typu external control of file name or path w Upload API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym uwierzytelnionym użytkownikom na zapis dowolnych plików i przeprowadzanie ataków typu denial-of-service.
- CVE-2026-4036Średnie
Podatność SQL injection w API Sharing w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania dostępu do dowolnych plików udostępnianych.
- CVE-2026-40539Wysokie
Podatność niewłaściwej walidacji certyfikatu w Email API w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala atakującym typu man-in-the-middle na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków denial-of-service.
- CVE-2026-40538Niskie
Podatność w funkcji Auto block w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2 pozwala zdalnym atakującym na odczyt ograniczonych plików poprzez ataki brute-force. Problem wynika z nieprawidłowego ograniczenia liczby prób uwierzytelnienia.
- CVE-2026-40537Średnie
Podatność typu Server-Side Request Forgery (SSRF) w API PersonMail w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40536Średnie
Podatność typu path traversal w API Audio w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może wykorzystać tę wadę do uzyskania nieistotnych informacji.
- CVE-2026-40535Średnie
Podatność typu path traversal w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może zapisywać ograniczone pliki i przeprowadzać ograniczone ataki typu denial-of-service.
- CVE-2026-40533Średnie
Podatność polegająca na ujawnieniu wrażliwych informacji poprzez zapytania do danych w API Desktop w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalny atakujący może uzyskać nieistotne informacje.
- CVE-2026-40532Średnie
Podatność typu forced browsing w ścieżce tapety (Wallpaper Path) w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może uzyskać wrażliwe informacje.
- CVE-2026-40531Średnie
Podatność typu integer overflow w operacjach na plikach (File Operation) w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-10, 7.2.2-72806-7 i 7.3.2-86009-2. Zdalnie uwierzytelniony użytkownik może przeprowadzać ograniczone ataki typu denial-of-service.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Video API in Synology DiskStation Manager (DSM) before 7.2.1-69057-10, 7.2.2-72806-7 and 7.3.2-86009-2 allows remote authenticated users to read or write limited files when the player is launched.