Kerngegevens
- Leverancier
- QNAP
- Product
- Video Station
- Soort software
- opslag
- Getroffen versies
- Video Station vanaf 5.8.x tot 5.8.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Video Station 5.8.8
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Video Station van QNAP zit een path traversal-lek. Daarmee kan een aanvaller via het netwerk bestanden of systeemgegevens lezen die niet voor hem bedoeld zijn. De aanvaller moet daarvoor eerst de beschikking hebben over een gebruikersaccount.
Wie loopt risico?
Je loopt risico als je Video Station gebruikt in een versie vanaf 5.8.x tot 5.8.8. Een aanvaller heeft een gebruikersaccount nodig, bijvoorbeeld een buitgemaakt of gelekt wachtwoord. Staat je apparaat bereikbaar via het netwerk of internet, dan is de kans op misbruik groter. In de gegevens is geen actief misbruik bekend.
Wat moet je doen?
Werk Video Station bij
Installeer Video Station 5.8.8 of nieuwer. Volgens de leverancier is het lek in die versie opgelost.
Controleer je huidige versie
Kijk in je QNAP-apparaat welke versie van Video Station je nu gebruikt. Is dat een versie vanaf 5.8.x tot 5.8.8, dan moet je bijwerken.
Beperk de toegang
Zorg dat alleen mensen die het nodig hebben een account hebben. Beperk ook de bereikbaarheid van je apparaat via het netwerk of internet.
Lees de uitleg van de leverancier
Meer informatie staat in de release-notes van QNAP voor Video Station.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-44084, CVE-2026-26244, CVE-2026-26245. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22): invoer die een pad naar een bestand bepaalt, wordt onvoldoende beperkt tot de bedoelde map. Een aanvaller met een geldig gebruikersaccount kan hierdoor via het netwerk bestanden of systeemgegevens lezen buiten die map. De aanval is laag in complexiteit en vereist geen interactie van een andere gebruiker. De CVSS 4.0-score is 8,7 en komt van de CNA. Getroffen zijn versies vanaf 5.8.x tot 5.8.8, het lek is opgelost in 5.8.8.
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Padmanipulatie (path traversal)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee