Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station vanaf 5.8.x tot 5.8.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.8
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een SQL-injectie. Dat is een fout waarbij een aanvaller eigen databaseopdrachten kan meesturen die de software onbedoeld uitvoert. Een aanvaller die toegang heeft tot een gebruikersaccount kan hierdoor ongeautoriseerde code of opdrachten uitvoeren. De fabrikant heeft het lek verholpen in een nieuwere versie.
Wie loopt risico?
Je loopt risico als je Video Station gebruikt in een versie vanaf 5.8.x tot 5.8.8. De aanvaller moet eerst de beschikking hebben over een gebruikersaccount, maar kan het lek daarna via het netwerk misbruiken. Voor zover bekend wordt het lek op dit moment niet actief misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na of Video Station op je QNAP-apparaat staat en welke versie je gebruikt. Versies vanaf 5.8.x tot 5.8.8 zijn getroffen.
Werk Video Station bij
Update naar Video Station 5.8.8 of later. In die versie heeft QNAP het lek opgelost (zie de release notes bij de bronnen).
Beperk toegang tot je apparaat
Stel je NAS niet onnodig bloot aan internet en controleer welke gebruikersaccounts toegang hebben. Verwijder accounts die je niet meer nodig hebt.
Eén update voor vier lekken
Video Station 5.8.8 lost vier lekken tegelijk op: deze SQL-injectie, een tweede SQL-injectie (CVE-2026-26245), een path traversal (CVE-2026-34015) en een autorisatie-omzeiling (CVE-2026-44084).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een SQL-injectie (CWE-89): invoer wordt onvoldoende gecontroleerd voordat die in een databaseopdracht terechtkomt. Een aanvaller met een geldig gebruikersaccount kan via het netwerk gemanipuleerde invoer sturen. Dat kan leiden tot het uitvoeren van ongeautoriseerde code of opdrachten. Er is geen interactie van een andere gebruiker nodig en de aanval is niet complex. De CVSS 4.0-score is 7,1 en is afkomstig van de CNA. Volgens de vector is vooral de vertrouwelijkheid van gegevens zwaar getroffen. Een publieke exploit is niet bekend.
CVSS-vector (versie 4.0, basisscore 7,1, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee