Критическая уязвимость Path Traversal в QNAP Download Station — CVE-2026-39993
Исследователи сообщили о новой уязвимости в популярном приложении Download Station от QNAP Systems Inc., которое широко используется на сетевых хранилищах QNAP NAS для загрузки файлов через BitTorrent, HTTP и другие протоколы. Уязвимость получила идентификатор CVE-2026-39993 и оценена как высокоопасная.
Подробности
Уязвимость относится к классу относительного обхода пути (relative path traversal) и затрагивает параметр Addon/Search addon. Эксплуатация возможна удалённо, однако требует наличия действующей учётной записи пользователя на устройстве. Получив доступ к аккаунту, атакующий может сформировать специально crafted-запрос, который позволит выйти за пределы разрешённого каталога и прочитать содержимое неожиданных файлов или системных данных.
Согласно описанию, успешная эксплуатация уязвимости может привести к выполнению произвольного кода с правами суперпользователя (root RCE). Это означает полную компрометацию устройства QNAP NAS, включая доступ ко всем хранящимся данным, возможность установки вредоносного ПО и использования устройства в качестве точки входа в корпоративную сеть.
Уязвимости присвоен базовый балл CVSS 8.7, что соответствует высокому уровню критичности. Вектор атаки — сетевой, требуется предварительная аутентификация с низкими привилегиями.
Затронуты версии QNAP Download Station до 5.10.2.313 и до 5.11.3.322. Производитель уже выпустил исправления.
Что делать
QNAP рекомендует незамедлительно обновить Download Station до одной из следующих версий или более поздней:
- Download Station 5.10.2.313 и выше;
- Download Station 5.11.3.322 и выше.
Обновление доступно через Центр приложений (App Center) на устройстве QNAP NAS. Если обновление невозможно установить немедленно, следует рассмотреть следующие временные меры:
- Ограничить доступ к веб-интерфейсу Download Station только доверенными сегментами сети;
- Отключить приложение Download Station, если оно не используется;
- Провести аудит учётных записей пользователей и отозвать неиспользуемые;
- Включить многофакторную аутентификацию для всех аккаунтов QNAP;
- Проверить журналы на предмет подозрительной активности, связанной с обращением к параметру
Addon/Search addon.
Уязвимость CVE-2026-39993 представляет серьёзную угрозу для владельцев QNAP NAS, особенно в корпоративной среде, где устройства часто хранят конфиденциальные данные и подключены к внутренней сети. Сочетание path traversal и последующего выполнения кода с правами root делает эксплуатацию крайне опасной. Единственная надёжная мера защиты — установка официального обновления от QNAP. До момента обновления рекомендуется минимизировать поверхность атаки и усилить мониторинг подозрительной активности.
Источник: CVE Project (cvelistV5)