QNAP · Network Attached Storage (NAS)

CVE-2018-19953

QNAP NAS File Station Cross-Site Scripting Vulnerability

Exploitée dans des attaques Utilisée par des rançongiciels Moyenne 6,1 Risque d'attaque : 31%

De quoi s'agit-il

If exploited, this cross-site scripting vulnerability could allow remote attackers to inject malicious code. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

CISA: A cross-site scripting vulnerability affecting QNAP NAS File Station could allow remote attackers to inject malicious code.

Que faire

Apply updates per vendor instructions.

Échéance pour les agences fédérales américaines : 14 juin 2022

Ajoutée à la liste de la CISA: 24 mai 2022
Publiée: 28 octobre 2020
Gravité: Moyenne 6,1 CVSS 3.1
Probabilité d'attaques dans les 30 prochains jours (EPSS): 31% dans les 1,8% les plus à risque de toutes les failles connues
Faiblesse: CWE-79 CWE-80
Plus de détails: NVD · CVE.org · CISA

Toutes les références (1)

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01

Autres failles exploitées chez QNAP

Ajouté	Faille	Produit	Gravité	Risque d'attaque
24 mai 2022	NAS File Station Cross-Site ScriptingCVE-2018-19943utilisée par des rançongiciels	Network Attached Storage (NAS)	Élevé 8,0	23%
24 mai 2022	NAS File Station Command InjectionCVE-2018-19949utilisée par des rançongiciels	Network Attached Storage (NAS)	Critique 9,8	30%
31 mars 2022	NAS Improper AuthorizationCVE-2021-28799utilisée par des rançongiciels	Network Attached Storage (NAS)	Critique 10,0	78%
21 déc. 2023	OS Command InjectionCVE-2023-47565	VioStor NVR	Élevé 8,0	73%
8 sept. 2022	Externally Controlled ReferenceCVE-2022-27593utilisée par des rançongiciels	Photo Station	Critique 10,0	88%
8 juin 2022	Improper Access ControlCVE-2019-7192utilisée par des rançongiciels	Photo Station	Critique 9,8	88%
8 juin 2022	Improper Input ValidationCVE-2019-7193utilisée par des rançongiciels	QTS	Critique 9,8	14%
8 juin 2022	Path TraversalCVE-2019-7194utilisée par des rançongiciels	Photo Station	Critique 9,8	83%

Toutes →

Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.