Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station vanaf 5.8.x tot 5.8.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.8
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een fout in de controle op toegangsrechten. Een aanvaller kan een sleutel die hij zelf kan aanpassen gebruiken om die controle te omzeilen. Daardoor kan iemand via het netwerk gevoelige gegevens bekijken die niet voor hem bedoeld zijn.
Wie loopt risico?
Je loopt risico als je Video Station van QNAP gebruikt in een versie vanaf 5.8.x tot 5.8.8. Een aanvaller heeft geen account en geen hulp van een gebruiker nodig, maar moet de applicatie wel via het netwerk kunnen bereiken. Hoe groter de blootstelling van je apparaat aan internet, hoe groter het risico. Volgens de gegevens is er geen publiek exploit bekend en wordt het lek niet actief misbruikt.
Wat moet je doen?
Controleer je versie
Open Video Station op je QNAP-apparaat en kijk welke versie je gebruikt. Versies vanaf 5.8.x tot 5.8.8 zijn getroffen.
Werk Video Station bij
Installeer Video Station 5.8.8 of nieuwer. QNAP heeft het lek in die versie opgelost.
Raadpleeg de releasenotes
Bekijk de releasenotes van QNAP voor Video Station voor details over de update.
Beperk de blootstelling
Zorg dat je QNAP-apparaat niet onnodig vanaf internet bereikbaar is, zolang je nog niet hebt bijgewerkt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-34015, CVE-2026-26244, CVE-2026-26245. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft een autorisatieomzeiling via een door de gebruiker gecontroleerde sleutel (CWE-639, Insecure Direct Object Reference). De applicatie controleert onvoldoende of de aanvrager recht heeft op het object dat met de opgegeven sleutel wordt aangeduid. Een aanvaller kan die sleutel aanpassen om bij gegevens van anderen te komen. De aanval verloopt via het netwerk, vereist geen authenticatie en geen gebruikersinteractie, en de aanvalscomplexiteit is laag. De impact beperkt zich volgens de CVSS-vector tot de vertrouwelijkheid van gegevens, met een score van 8,7 (CVSS 4.0).
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-639 · Autorisatieomzeiling via door de gebruiker beheerde sleutel
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee