Kerngegevens
- Leverancier
- QNAP
- Product
- Download Station
- Soort software
- opslag
- Getroffen versies
- Download Station 5.10-reeks ouder dan 5.10.2.313, 5.11-reeks ouder dan 5.11.3.322
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Download Station 5.10.2.313
- Download Station 5.11.3.322
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Download Station van QNAP zit een lek waarbij een aanvaller met een gebruikersaccount bestanden kan lezen die niet bedoeld zijn om toegankelijk te zijn. Het gaat om een zogeheten relatieve padtraversal. Daarbij kan de aanvaller via een manipuleerd bestandspad buiten de bedoelde map komen. Zo kan hij de inhoud van bestanden of systeemgegevens inzien.
Wie loopt risico?
Je loopt risico als je Download Station van QNAP gebruikt en een aanvaller toegang heeft tot een gebruikersaccount. Die toegang is nodig, maar de aanval gebeurt wel via het netwerk. Er is geen aanwijzing dat het lek actief wordt misbruikt of dat er een publieke exploit is.
Wat moet je doen?
Controleer je versie
Kijk welke versie van Download Station je gebruikt en of die lager is dan de opgeloste versies.
Werk Download Station bij
Installeer Download Station 5.10.2.313 of nieuwer, of 5.11.3.322 of nieuwer. QNAP meldt dat het lek in deze versies is opgelost.
Controleer je gebruikersaccounts
Verwijder accounts die je niet meer nodig hebt en gebruik sterke, unieke wachtwoorden. Een aanvaller heeft namelijk eerst een account nodig.
Beperk de blootstelling
Zorg dat Download Station niet onnodig vanaf internet bereikbaar is. Meer informatie vind je in de release notes van QNAP.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een relatieve padtraversal (CWE-23) in Download Station. De applicatie beperkt bestandspaden die een gebruiker aanlevert onvoldoende tot de bedoelde map. Daardoor kan een geauthenticeerde aanvaller via het netwerk bestanden of systeemgegevens lezen buiten die map. De aanval is niet complex en vereist geen interactie van een andere gebruiker. De CVSS 4.0-score is 8,7 (hoog), met een grote impact op de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem.
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-23 · Relatieve padtraversal
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee