Kerngegevens
- Leverancier
- QNAP
- Product
- HybridDesk Station
- Soort software
- opslag
- Getroffen versies
- HybridDesk Station vanaf 4.2.x tot 4.2.22
- Oplossing
- Update beschikbaar
- Opgeloste versie
- HybridDesk Station 4.2.22
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In HybridDesk Station van QNAP zit een functie die geen authenticatie vraagt, terwijl dat wel zou moeten. Een aanvaller kan daardoor toegang krijgen tot het systeem zonder in te loggen. QNAP heeft het lek verholpen in een nieuwere versie van de software.
Wie loopt risico?
Je loopt risico als je HybridDesk Station gebruikt in een versie vanaf 4.2.x tot 4.2.22. Volgens de beoordeling gaat het om een aanval vanaf een aangrenzend netwerk, dus de aanvaller moet dichtbij of op hetzelfde netwerk zitten. In de gegevens staat niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer of je HybridDesk Station gebruikt
Kijk op je QNAP-apparaat of HybridDesk Station is geïnstalleerd en welke versie je draait.
Werk bij naar versie 4.2.22 of nieuwer
QNAP heeft het lek opgelost in HybridDesk Station 4.2.22 en later. Installeer deze versie of een nieuwere via de app-updates van je QNAP. De releasenotes van QNAP vind je via de bronverwijzing.
Beperk toegang tot je netwerk
Zolang je nog niet hebt bijgewerkt, zorg je dat alleen vertrouwde apparaten op hetzelfde netwerk als je QNAP kunnen komen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een ontbrekende authenticatie voor een belangrijke functie (CWE-306) in HybridDesk Station van QNAP. Zonder die controle kan een aanvaller de functie aanroepen en toegang tot het systeem krijgen. De CVSS 4.0-vector wijst op een aanval via een aangrenzend netwerk (AV:A) met lage complexiteit, zonder vereiste rechten en met passieve interactie van een gebruiker. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog, ook voor volgende systemen. De score van 8,9 komt van de CNA. Getroffen zijn versies vanaf 4.2.x tot 4.2.22; het lek is opgelost in 4.2.22.
CVSS-vector (versie 4.0, basisscore 8,9, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een belangrijke functie
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee