Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Déni de service à distance
- Injection de code indirecte à distance (XSS)
- Injection de requêtes illégitimes par rebond (CSRF)
- Injection SQL (SQLi)
- Non spécifié par l'éditeur
- Élévation de privilèges
Systèmes affectés
- Download Station versions 5.10.x pour QuTS hero h5.2.1 antérieures à 5.10.0.304 ( 2025/09/08 )
- Download Station versions 5.10.x pour QTS 5.2.1 antérieures à 5.10.0.305 ( 2025/09/16 )
- File Station 5 versions 5.5.x antérieures à 5.5.6.5018
- HBS 3 Hybrid Backup Sync versions 26.x antérieures à 26.2.0.938
- Hyper Data Protector versions 2.2.x antérieures à 2.2.4.1
- Malware Remover versions 6.6.x antérieures à 6.6.8.20251023
- Notification Center versions 1.9.x pour QTS 5.2.x et QuTS hero h5.2.x antérieures à 1.9.2.3163
- Notification Center versions 2.1.x pour QuTS hero h5.3.x antérieures à 2.1.0.3443
- Notification Center versions 3.0.x pour QuTS hero h5.6.x et QuTS hero h6.0.x antérieures à 3.0.0.3466
- Qsync Central versions 5.0.x antérieures à 5.0.0.3 ( 2025/08/28 )
- QTS versions 5.2.x antérieures à QTS 5.2.7.3297 build 20251024
- QuLog Center versions 1.8.x antérieures à 1.8.2.923 ( 2025/08/27 )
- QuMagie versions 2.6.x et 2.7.x antérieures à 2.7.3
- QuTS hero versions h5.2.x antérieures à h5.2.7.3297 build 20251024
- QuTS hero versions h5.3.x antérieures à h5.3.1.3292 build 20251024
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d'entre elles permettent à un attaquant de provoquer une élévation de privilèges, un déni de service à distance et une injection SQL (SQLi).
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Qnap QSA-25-33 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-33
- Bulletin de sécurité Qnap QSA-25-37 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-37
- Bulletin de sécurité Qnap QSA-25-38 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-38
- Bulletin de sécurité Qnap QSA-25-40 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-40
- Bulletin de sécurité Qnap QSA-25-41 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-41
- Bulletin de sécurité Qnap QSA-25-42 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-42
- Bulletin de sécurité Qnap QSA-25-43 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-43
- Bulletin de sécurité Qnap QSA-25-45 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-45
- Bulletin de sécurité Qnap QSA-25-46 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-46
- Bulletin de sécurité Qnap QSA-25-47 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-47
- Bulletin de sécurité Qnap QSA-25-48 du 08 novembre 2025 https://www.qnap.com/go/security-advisory/qsa-25-48
- Référence CVE CVE-2025-11837 https://www.cve.org/CVERecord?id=CVE-2025-11837
- Référence CVE CVE-2025-47207 https://www.cve.org/CVERecord?id=CVE-2025-47207
- Référence CVE CVE-2025-52425 https://www.cve.org/CVERecord?id=CVE-2025-52425
- Référence CVE CVE-2025-52865 https://www.cve.org/CVERecord?id=CVE-2025-52865
- Référence CVE CVE-2025-53408 https://www.cve.org/CVERecord?id=CVE-2025-53408
- Référence CVE CVE-2025-53409 https://www.cve.org/CVERecord?id=CVE-2025-53409
- Référence CVE CVE-2025-53410 https://www.cve.org/CVERecord?id=CVE-2025-53410
- Référence CVE CVE-2025-53411 https://www.cve.org/CVERecord?id=CVE-2025-53411
- Référence CVE CVE-2025-53412 https://www.cve.org/CVERecord?id=CVE-2025-53412
- Référence CVE CVE-2025-53413 https://www.cve.org/CVERecord?id=CVE-2025-53413
- Référence CVE CVE-2025-54167 https://www.cve.org/CVERecord?id=CVE-2025-54167
- Référence CVE CVE-2025-54168 https://www.cve.org/CVERecord?id=CVE-2025-54168
- Référence CVE CVE-2025-57706 https://www.cve.org/CVERecord?id=CVE-2025-57706
- Référence CVE CVE-2025-57712 https://www.cve.org/CVERecord?id=CVE-2025-57712
- Référence CVE CVE-2025-58463 https://www.cve.org/CVERecord?id=CVE-2025-58463
- Référence CVE CVE-2025-58464 https://www.cve.org/CVERecord?id=CVE-2025-58464
- Référence CVE CVE-2025-58465 https://www.cve.org/CVERecord?id=CVE-2025-58465
- Référence CVE CVE-2025-58469 https://www.cve.org/CVERecord?id=CVE-2025-58469
- Référence CVE CVE-2025-59389 https://www.cve.org/CVERecord?id=CVE-2025-59389
- Référence CVE CVE-2025-62840 https://www.cve.org/CVERecord?id=CVE-2025-62840
- Référence CVE CVE-2025-62842 https://www.cve.org/CVERecord?id=CVE-2025-62842
- Référence CVE CVE-2025-62847 https://www.cve.org/CVERecord?id=CVE-2025-62847
- Référence CVE CVE-2025-62848 https://www.cve.org/CVERecord?id=CVE-2025-62848
- Référence CVE CVE-2025-62849 https://www.cve.org/CVERecord?id=CVE-2025-62849
