Kerngegevens
- Leverancier
- QNAP
- Product
- HybridDesk Station
- Soort software
- opslag
- Getroffen versies
- HybridDesk Station vanaf 4.2.x tot 4.2.23, vanaf 4.3.x tot 4.3.4
- Oplossing
- Update beschikbaar
- Opgeloste versie
- HybridDesk Station 4.2.23
- HybridDesk Station 4.3.4
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In HybridDesk Station van QNAP zit een fout waardoor een aanvaller eigen commando's kan laten uitvoeren op het apparaat. Dit heet commando-injectie. De aanvaller hoeft daarvoor alleen het netwerk te bereiken, inloggen is volgens de score niet nodig. De leverancier heeft het lek verholpen in nieuwere versies.
Wie loopt risico?
Je loopt risico als je HybridDesk Station gebruikt op een QNAP-apparaat met een versie van de 4.2-reeks tot 4.2.23 of van de 4.3-reeks tot 4.3.4. Het risico is het grootst als het apparaat vanaf internet of een onbetrouwbaar netwerk bereikbaar is. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Kijk op je QNAP-apparaat welke versie van HybridDesk Station is geïnstalleerd. Versies van de 4.2-reeks tot 4.2.23 en van de 4.3-reeks tot 4.3.4 zijn getroffen.
Werk HybridDesk Station bij
Installeer HybridDesk Station 4.2.23 of nieuwer als je de 4.2-reeks gebruikt, of 4.3.4 of nieuwer als je de 4.3-reeks gebruikt. De releasenotes van QNAP geven meer informatie.
Beperk de bereikbaarheid
Zorg dat je QNAP-apparaat niet onnodig vanaf internet bereikbaar is. Gebruik je HybridDesk Station niet, overweeg dan de toepassing te verwijderen of uit te zetten.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een OS-commando-injectie (CWE-78) in HybridDesk Station. Invoer wordt onvoldoende gecontroleerd voordat die in een systeemcommando terechtkomt, waardoor een aanvaller willekeurige commando's kan uitvoeren. De aanval verloopt via het netwerk, vraagt weinig complexiteit en volgens de CVSS 4.0-vector geen authenticatie en geen handelen van een gebruiker. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem zijn hoog. De CNA geeft een score van 9,3. QNAP heeft het lek opgelost in 4.2.23 en 4.3.4.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,4%
- Aanvalscode openbaar
- Nee