Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station ouder dan 5.8.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.5
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een path traversal-lek. Daarmee kan iemand via een speciaal samengesteld verzoek bestanden of systeemgegevens lezen die niet bedoeld zijn om open te staan. Voor misbruik is wel een gebruikersaccount nodig.
Wie loopt risico?
Je loopt risico als je Video Station gebruikt op een QNAP-NAS en een aanvaller via het netwerk toegang krijgt tot een gebruikersaccount, bijvoorbeeld door gestolen of zwakke inloggegevens. Zonder zo'n account is het lek niet te misbruiken. In de gegevens staat geen melding dat het lek actief wordt misbruikt.
Wat moet je doen?
Werk Video Station bij
Update Video Station via het App Center naar versie 5.8.5 of nieuwer. Die versie bevat de oplossing van QNAP.
Beperk accounttoegang
Voor misbruik is een gebruikersaccount nodig. Controleer welke accounts op je NAS bestaan, verwijder accounts die je niet gebruikt en kies sterke wachtwoorden.
Beperk blootstelling aan internet
Zorg dat je NAS niet onnodig rechtstreeks bereikbaar is vanaf internet.
Eén update voor twee lekken
Video Station 5.8.5 lost ook het vergelijkbare path traversal-lek CVE-2025-66275 op.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22) in Video Station. Een externe aanvaller met een geldig gebruikersaccount kan de bestandspaden in een verzoek zo manipuleren dat bestanden buiten de bedoelde map worden gelezen. Zo kan de inhoud van onverwachte bestanden of systeemgegevens worden opgevraagd. De aanval verloopt via het netwerk, met lage complexiteit en zonder tussenkomst van een andere gebruiker. De CNA beoordeelt het lek met CVSS 4.0-score 7,7. QNAP heeft het opgelost in Video Station 5.8.5.
CVSS-vector (versie 4.0, basisscore 7,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Onjuiste beperking van een pad tot een toegestane map (path traversal)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee