QNAP QTS/QuTS hero – SQL-Injection durch authentifizierte Nutzer

Beschreibung

In mehreren QNAP-Betriebssystemversionen erlaubt eine SQL-Injection-Schwachstelle authentifizierten Nutzern das Einschleusen von Schadcode über das Netzwerk. QNAP hat den Fehler u. a. in QTS 5.1.5.2645 (Build 20240116), QTS 4.5.4.2627 (Build 20231225), QuTS hero h5.1.5.2647 (Build 20240118), QuTS hero h4.5.4.2626 (Build 20231225) und QuTScloud c5.1.5.2651 behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten Versionen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in QNAP

• QNAP VioStor NVR – OS Command Injection KEV CVE-2023-47565
• QNAP Photo Station – Externally Controlled Reference KEV CVE-2022-27593
• QNAP Photo Station – Improper Access Control KEV CVE-2019-7192
• QNAP QTS – Improper Input Validation KEV CVE-2019-7193
• QNAP Photo Station – Path Traversal KEV CVE-2019-7194
• QNAP Photo Station – Path Traversal KEV CVE-2019-7195