Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station ouder dan 5.8.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.5
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een path traversal-lek. Een aanvaller die al toegang heeft tot een gebruikersaccount kan hiermee bestanden of systeemgegevens lezen die niet voor die gebruiker bedoeld zijn. QNAP heeft het probleem verholpen in een nieuwere versie van de app.
Wie loopt risico?
Je loopt risico als je Video Station gebruikt op een QNAP-apparaat en de app niet is bijgewerkt. De aanvaller moet eerst een geldig gebruikersaccount in handen krijgen en het lek vanaf het netwerk misbruiken. Is jouw apparaat bereikbaar vanaf internet, dan is de kans op misbruik groter.
Wat moet je doen?
Controleer je versie
Kijk in het App Center van je QNAP-apparaat welke versie van Video Station je hebt.
Werk Video Station bij
Installeer Video Station 5.8.5 of nieuwer. Deze versie lost ook het vergelijkbare lek CVE-2025-66272 op.
Beperk de blootstelling
Stel je apparaat niet onnodig open op internet en gebruik sterke, unieke wachtwoorden voor alle gebruikersaccounts.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22), waarbij invoer met padverwijzingen onvoldoende wordt gecontroleerd. Daardoor kan een aanvaller bestanden buiten de bedoelde map benaderen. Voor misbruik is een geldig gebruikersaccount nodig, maar geen interactie van een andere gebruiker. De aanval verloopt via het netwerk. De CNA geeft een CVSS 4.0-score van 7,7, met een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Er is geen publiek exploit bekend en het lek staat niet op de KEV-lijst.
CVSS-vector (versie 4.0, basisscore 7,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Path traversal (onvoldoende beperking van een pad tot een beperkte map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee