Thomas Fady

Foi relatado um problema de exposição de informações confidenciais, que pode permitir que invasores remotos comprometam a segurança do sistema.

Nome do software vulnerável e versões afetadas: Versões do Notes Station 3 anteriores à 3.9.7 Descrição: O problema está relacionado à validação insuficiente de solicitações recebidas, o que poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas, falsificando solicitações em nome do servidor. Trata-se de uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF). Se explorada, poderia permitir que invasores remotos autenticados lessem dados do aplicativo. Recomendações: Para versões do Notes Station 3 anteriores à 3.9.7, atualize para a versão 3.9.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao aplicativo Notes Station vulnerável até que um patch seja aplicado.

Foi relatada uma vulnerabilidade de injeção de comando no sistema operacional, que poderia permitir que invasores remotos autenticados executassem comandos caso a vulnerabilidade fosse explorada.

Foi relatada uma falha de autenticação ausente em funções críticas, o que poderia permitir que invasores remotos obtivessem acesso e executassem determinadas funções caso a vulnerabilidade fosse explorada.

Foi relatada uma vulnerabilidade de injeção de comando no sistema operacional que afeta várias versões do sistema operacional QNAP. Se explorada, a vulnerabilidade poderia permitir que administradores autenticados executassem comandos através da rede.

Foi relatada uma vulnerabilidade de autenticação inadequada que afeta o Music Station. Se explorada, a vulnerabilidade poderia permitir que usuários comprometessem a segurança do sistema por meio de uma rede.

Foi relatada uma vulnerabilidade relacionada à atribuição incorreta de permissões para um recurso crítico. Se explorada, a vulnerabilidade poderia permitir que invasores locais autenticados, que tenham obtido acesso de administrador, leiam ou modifiquem o recurso.

Um problema de autenticação inadequada afeta dispositivos QNAP que executam o Video Station, permitindo que invasores comprometam a segurança do sistema ao explorar a vulnerabilidade. Esse problema está relacionado a deficiências no procedimento de autenticação, que podem ser exploradas por um invasor remoto para elevar seus privilégios.

Uma falha na autenticação afeta dispositivos QNAP que executam o Photo Station, permitindo que invasores contornem as restrições de segurança e comprometam a segurança do sistema.

O problema está relacionado a procedimentos de autorização insuficientes no aplicativo Video Station, permitindo que invasores remotos elevem seus privilégios e acessem dados ou realizem ações que não deveriam ter permissão para realizar. Isso pode levar a acesso não autorizado e possíveis violações de dados.

O problema está relacionado à neutralização inadequada de caracteres especiais utilizados em um comando SQL, também conhecida como injeção de SQL, na funcionalidade de gerenciamento de segurança. Isso permite que invasores remotos injetem comandos SQL por meio de vetores não especificados.

**Nome do software vulnerável e versões afetadas: Versões do Helpdesk da QNAP Systems Inc. anteriores à 3.0.4 Descrição: Foi relatado um problema de controle de acesso inadequado, afetando o QNAP NAS. Esse problema permite que invasores remotos comprometam a segurança do software. Recomendações: Para versões anteriores à 3.0.4, atualize para a versão 3.0.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo Helpdesk para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do Video Station da QNAP Systems Inc. anteriores à 5.5.4 no QTS 4.5.2 Versões do Video Station da QNAP Systems Inc. anteriores à 5.5.4 no QuTS hero h4.5.2 Versões do Video Station da QNAP Systems Inc. anteriores à 5.5.4 no QuTScloud c4.5.4 Descrição: Foi relatada uma vulnerabilidade de injeção de comando que afeta determinadas versões do Video Station. Se explorada, essa vulnerabilidade permite que invasores remotos executem comandos arbitrários. Recomendações: Para versões anteriores à 5.5.4 no QTS 4.5.2, atualize para a versão 5.5.4 ou posterior. Para versões anteriores à 5.5.4 no QuTS hero h4.5.2, atualize para a versão 5.5.4 ou posterior. Para versões anteriores à 5.5.4 no QuTScloud c4.5.4, atualize para a versão 5.5.4 ou posterior.

The issue allows remote attackers to execute arbitrary commands via a crafted 'X-Real-IP' header. This is related to an OS command injection vulnerability in the drivers syno import user.php file.

The issue concerns a relative path traversal vulnerability. It allows remote authenticated users to upload arbitrary files via the `name` parameter.

A cross-site request forgery (CSRF) issue allows remote attackers to hijack the authentication of administrators. This can be achieved via the `username`, `password`, `admin`, `action`, `uid`, or `modify admin` parameter.

The issue is related to a permissive regular expression vulnerability in the synophoto dsm user component of Synology Photo Station. This vulnerability allows remote authenticated users to conduct privilege escalation attacks. The attack is carried out via the `fullname` parameter.