Kerngegevens
- Leverancier
- QNAP
- Product
- Notes Station 3
- Soort software
- opslag
- Getroffen versies
- Notes Station 3 vanaf 3.9.x tot 3.9.11
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Notes Station 3 3.9.11
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Notes Station 3 van QNAP zijn de rechten op een belangrijk onderdeel van het systeem verkeerd ingesteld. Een aanvaller die al een gebruikersaccount op het apparaat heeft, kan hierdoor meer doen dan de bedoeling is. Daardoor kan de beveiliging van het systeem in gevaar komen. De ernst is hoog (8,5).
Wie loopt risico?
Je loopt risico als je Notes Station 3 gebruikt in een versie vanaf 3.9.x tot 3.9.11, bijvoorbeeld op een QNAP-nas. De aanvaller moet eerst lokaal toegang hebben met een gebruikersaccount. Het lek is dus vooral een probleem als accounts zijn gedeeld, zwak beveiligd of gestolen. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Open de App Center van je QNAP-apparaat en kijk welke versie van Notes Station 3 is geïnstalleerd. Versies vanaf 3.9.x tot 3.9.11 zijn getroffen.
Werk Notes Station 3 bij
Update naar Notes Station 3 versie 3.9.11 of nieuwer. QNAP heeft het lek in deze versie opgelost.
Controleer de gebruikersaccounts
Kijk na welke accounts toegang hebben tot het apparaat. Verwijder accounts die niet meer nodig zijn en gebruik sterke, unieke wachtwoorden.
Let ook op het gerelateerde lek
Voor CVE-2026-34009 geldt hetzelfde advies. Met dezelfde update ben je dus ook daarvoor goed bezig. Raadpleeg de releasenotes van QNAP voor details.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-34009. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft CWE-732: onjuiste toewijzing van rechten aan een kritieke bron in Notes Station 3. Door de verkeerd ingestelde rechten kan een lokale aanvaller met een gewoon gebruikersaccount de beveiliging van het systeem ondermijnen. Volgens de CVSS 4.0-beoordeling van de CNA is de aanvalsroute lokaal, is de complexiteit laag en zijn alleen beperkte rechten nodig. Gebruikersinteractie is niet vereist. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem is hoog. Er is geen publieke exploit bekend.
CVSS-vector (versie 4.0, basisscore 8,5, bron: CNA)
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-732 · Onjuiste toewijzing van rechten aan een kritieke bron
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee