Kerngegevens
- Leverancier
- QNAP
- Product
- Virtualization Station
- Soort software
- opslag
- Getroffen versies
- Virtualization Station vanaf 4.1.x tot 4.1.1.130
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Virtualization Station 4.1.1.130
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Virtualization Station van QNAP zit een fout in de manier waarop het programma koppelingen naar bestanden (links) afhandelt voordat het een bestand opent. Een aanvaller die toegang heeft tot een gebruikersaccount kan dit misbruiken om de beveiliging van het systeem te ondermijnen. De leverancier heeft het lek verholpen in een nieuwere versie.
Wie loopt risico?
Je loopt risico als je Virtualization Station van QNAP gebruikt in een versie vóór 4.1.1.130. De aanvaller moet eerst een gebruikersaccount in handen krijgen, bijvoorbeeld via gestolen of zwak beveiligde inloggegevens. Daarna kan de aanval via het netwerk plaatsvinden. Er is geen aanwijzing dat het lek nu actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na of je Virtualization Station gebruikt en welke versie er is geïnstalleerd. Versies tot 4.1.1.130 zijn getroffen.
Werk Virtualization Station bij
Installeer Virtualization Station 4.1.1.130 of nieuwer. De release-opmerkingen van QNAP voor deze app vind je via de verwijzing in de bronnen.
Beperk de toegang tot accounts
Controleer welke gebruikersaccounts toegang hebben, verwijder accounts die je niet meer nodig hebt en gebruik sterke wachtwoorden.
Beperk blootstelling aan het netwerk
Zorg dat het beheer van je systeem niet onnodig vanaf internet bereikbaar is.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek valt onder CWE-59: onjuiste afhandeling van symbolische of andere koppelingen voordat een bestand wordt benaderd (link following). Het programma volgt een link zonder te controleren waar die naartoe wijst, waardoor een aanvaller een bestand kan bereiken of beïnvloeden waar dat niet de bedoeling is. Voor misbruik is een geldig gebruikersaccount nodig (lage privileges), maar geen interactie van een andere gebruiker. De aanval verloopt via het netwerk met lage complexiteit. Volgens de CVSS 4.0-vector is de impact op vertrouwelijkheid, integriteit en beschikbaarheid van het systeem zelf hoog. De score van 8,7 is afkomstig van de leverancier (CNA).
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-59 · Onjuiste afhandeling van koppelingen voor bestandstoegang (link following)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee