Kerngegevens
- Leverancier
- QNAP
- Product
- Qsync Central
- Soort software
- opslag
- Getroffen versies
- Qsync Central vanaf 5.0.x tot 5.0.0.6, vanaf 5.1.x tot 5.1.0.2, vanaf 5.2.x tot 5.2.0.4
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Qsync Central 5.0.0.6
- Qsync Central 5.1.0.2
- Qsync Central 5.2.0.4
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Qsync Central van QNAP zit een path traversal-lek. Daarmee kan iemand via het netwerk bestanden of systeemgegevens lezen die niet bedoeld zijn om toegankelijk te zijn. QNAP heeft het lek verholpen in nieuwere versies van de software.
Wie loopt risico?
Je loopt risico als je Qsync Central gebruikt in een van de getroffen versies uit de reeksen 5.0, 5.1 of 5.2. Een aanvaller heeft wel eerst een gebruikersaccount nodig, bijvoorbeeld via gestolen inloggegevens. Er is geen aanwijzing dat het lek actief wordt misbruikt en er is geen publieke exploit bekend.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Qsync Central je gebruikt en of die onder de getroffen reeksen 5.0, 5.1 of 5.2 valt.
Werk Qsync Central bij
Installeer Qsync Central 5.0.0.6, 5.1.0.2 of 5.2.0.4, of een nieuwere versie binnen dezelfde reeks. Meer informatie staat in de release notes van QNAP.
Beperk de toegang
Zorg dat Qsync Central niet onnodig vanaf internet bereikbaar is, zodat een aanvaller minder makkelijk bij de inlogpagina komt.
Controleer je gebruikersaccounts
Verwijder accounts die je niet meer nodig hebt en gebruik sterke, unieke wachtwoorden. Het lek kan alleen worden misbruikt met een geldig account.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22): invoer die een bestandspad bepaalt wordt onvoldoende beperkt tot de bedoelde map. Een aanvaller met een geldig gebruikersaccount kan hierdoor via het netwerk bestanden of systeemgegevens lezen buiten de bedoelde locatie. De aanval vereist geen interactie van een andere gebruiker en de complexiteit is laag. De CVSS 4.0-score van 7,2 is afkomstig van de CNA en de vector noemt lage benodigde rechten (PR:L). QNAP lost het lek op in Qsync Central 5.0.0.6, 5.1.0.2 en 5.2.0.4 en hoger.
CVSS-vector (versie 4.0, basisscore 7,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Padtraversal (onvoldoende beperking van een pad tot een bedoelde map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee