Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station 5.8.x ouder dan 5.8.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.8
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een tweede SQL-injectiefout, naast CVE-2026-26244. Een aanvaller met een gebruikersaccount kan via het netwerk eigen opdrachten naar de database sturen. Volgens QNAP kan dat leiden tot het uitvoeren van code of opdrachten; QNAP's eigen beoordeling noemt vooral een grote impact op de vertrouwelijkheid (gegevens uitlezen) en een kleine impact op de beschikbaarheid.
Wie loopt risico?
Je loopt risico als je Video Station 5.8.x ouder dan 5.8.8 gebruikt. Een aanvaller heeft eerst een gebruikersaccount nodig, bijvoorbeeld via een buitgemaakt of zwak wachtwoord. Is je NAS bereikbaar vanaf internet, dan is de kans op misbruik groter. Er is geen actief misbruik bekend.
Wat moet je doen?
Werk Video Station bij
Installeer Video Station 5.8.8 of nieuwer via het App Center (zie de release notes bij de bronnen).
Beperk de toegang
Stel je NAS niet onnodig bloot aan internet en laat alleen gebruikers toe die echt toegang nodig hebben.
Controleer je accounts
Gebruik sterke, unieke wachtwoorden en verwijder accounts die je niet meer nodig hebt, zodat een aanvaller moeilijker een account kan bemachtigen.
Eén update voor vier lekken
Video Station 5.8.8 lost vier lekken tegelijk op: deze SQL-injectie, de andere SQL-injectie (CVE-2026-26244), een path traversal (CVE-2026-34015) en een autorisatie-omzeiling (CVE-2026-44084).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een SQL-injectie (CWE-89): invoer wordt niet goed gefilterd voordat die in een databasequery terechtkomt. Een aanvaller met een geldig gebruikersaccount kan het lek via het netwerk misbruiken zonder tussenkomst van een andere gebruiker. Daarmee is het mogelijk om ongeautoriseerde code of opdrachten uit te voeren. De CVSS 4.0-score is 7,1 en komt van de CNA. Het lek is opgelost in Video Station 5.8.8 en later.
CVSS-vector (versie 4.0, basisscore 7,1, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee