Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-41544

QNAP QcalAgent: path traversal laat bestanden lezen met account

Hoog8,7
Door Jelmer SchoutenBijgewerkt op CVSS 4.0 · bron: CNA

Kerngegevens

Leverancier
QNAP
Product
QcalAgent
Soort software
opslag
Getroffen versies
QcalAgent ouder dan 1.1.10
Oplossing
Update beschikbaar
Opgeloste versie
QcalAgent 1.1.10
CVE gepubliceerd
15 oktober 2026
Gepubliceerd op LekkenRadar
15 oktober 2026
Laatst gewijzigd bij NVD
15 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

In QcalAgent van QNAP zit een path traversal-lek. Daarbij kan iemand via een manipuleerd pad bij bestanden komen die niet bedoeld zijn om open te staan. Een aanvaller kan hierdoor de inhoud van onverwachte bestanden of systeemgegevens lezen.

Wie loopt risico?

Risico loopt iedereen die QcalAgent gebruikt in een versie van vóór 1.1.10. De aanvaller moet wel eerst toegang hebben tot een gebruikersaccount en kan het lek via het netwerk misbruiken. In de gegevens staat geen aanwijzing dat het lek al actief wordt misbruikt.

Wat moet je doen?

  1. Controleer je versie

    Kijk na of QcalAgent op je QNAP-systeem staat en welke versie dat is.

  2. Werk QcalAgent bij

    Installeer QcalAgent 1.1.10 of nieuwer. Deze versie en latere versies bevatten de oplossing.

  3. Beperk toegang tot accounts

    Controleer welke gebruikersaccounts er zijn, verwijder accounts die niet nodig zijn en gebruik sterke wachtwoorden.

  4. Beperk blootstelling

    Zorg dat je QNAP-systeem niet onnodig vanaf internet bereikbaar is. Meer informatie vind je in de release-opmerkingen van QNAP.

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

Het lek is een path traversal (CWE-22): invoer die een bestandspad bepaalt wordt onvoldoende beperkt tot de bedoelde map. Een geauthenticeerde aanvaller kan daardoor via het netwerk bestanden buiten die map lezen. De aanval vraagt geen gebruikersinteractie en heeft een lage complexiteit. De CNA geeft een CVSS 4.0-score van 8,7, met een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. De fix zit in QcalAgent 1.1.10.

CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Zwakheid (CWE)
CWE-22 · Path traversal (onvoldoende beperking van een pad tot een afgeschermde map)
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
0,4%
Aanvalscode openbaar
Nee

Bronnen

Gerelateerde lekken