Kerngegevens
- Leverancier
- QNAP
- Product
- Download Station
- Soort software
- opslag
- Getroffen versies
- Download Station vanaf 5.10.x tot 5.10.1.312, vanaf 5.11.x tot 5.11.2.321
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Download Station 5.10.1.312
- Download Station 5.11.2.321
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Download Station van QNAP zijn rechten voor een kritieke bron verkeerd ingesteld. Een lokale aanvaller die al beheerdersrechten heeft, kan dit misbruiken om de beveiliging van het systeem aan te tasten. De ernst is hoog (8,4). Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wie loopt risico?
Je loopt risico als je Download Station gebruikt in een versie vóór 5.10.1.312 (reeks 5.10.x) of vóór 5.11.2.321 (reeks 5.11.x). De aanvaller heeft lokaal toegang nodig en moet al een beheerdersaccount in handen hebben. Zonder zo'n account is dit lek niet te misbruiken.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Download Station je gebruikt. Versies van 5.10.x vóór 5.10.1.312 en van 5.11.x vóór 5.11.2.321 zijn getroffen.
Werk Download Station bij
Installeer Download Station 5.10.1.312 of nieuwer als je op de reeks 5.10.x zit. Zit je op de reeks 5.11.x, installeer dan 5.11.2.321 of nieuwer.
Beperk beheerdersaccounts
Controleer wie beheerdersrechten heeft en gebruik sterke, unieke wachtwoorden voor die accounts. Het lek is alleen te misbruiken met een beheerdersaccount.
Lees de uitgavenotities
Meer informatie staat in de releasenotes van QNAP voor Download Station.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft een onjuiste toewijzing van rechten aan een kritieke bron (CWE-732) in QNAP Download Station. Een lokale aanvaller met beheerdersrechten kan dit misbruiken om de beveiliging van het systeem te compromitteren. De CVSS 4.0-score is 8,4, met vector AV:L/AC:L/AT:N/PR:H/UI:N en hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. De score is afkomstig van de CNA. De leverancier heeft het probleem verholpen in Download Station 5.10.1.312 en 5.11.2.321 en nieuwer.
CVSS-vector (versie 4.0, basisscore 8,4, bron: CNA)
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-732 · Onjuiste rechtentoewijzing voor een kritieke bron
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee