Synology - CVE-2026-76954
Date de publication :
Il s’agit d’une vulnérabilité dans l’API d’authentification (Auth API) de Synology DiskStation Manager (DSM).
Synology DiskStation Manager (DSM) est le système d’exploitation des NAS Synology. Il fournit une interface web pour la gestion du stockage, des utilisateurs et des services de l’équipement.
Elle provient d’une neutralisation incorrecte des caractères spéciaux dans une commande SQL. Un attaquant distant peut ainsi réaliser une injection SQL. L’attaque passe par le réseau avec une complexité faible. Elle ne demande ni privilège ni interaction de l’utilisateur.
Elle permet la lecture ou l’écriture de fichiers arbitraires sur l’équipement, ainsi qu’un déni de service.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
DSM 7.4 versions antérieures à 7.4.1-90080-1
- DSM 7.3 versions antérieures à 7.3.2-86009-5
- DSM 7.2.2 versions antérieures à 7.2.2-72806-10
- DSM 7.2.1 versions antérieures à 7.2.1-69057-13
Solutions ou recommandations
• DSM 7.3 versions 7.3.2-86009-5 et supérieures.
• DSM 7.2.2 versions 7.2.2-72806-10 et supérieures.
• DSM 7.2.1 versions 7.2.1-69057-13 et supérieures.