위험CVSS9.82026-11-13
CVE-2026-76954 — Synology DSM Auth API의 SQL 인젝션(인증 불필요, CVSS 9.8, 7.2.1-69057-13 등에서 수정): 해설과 대책
Synology DiskStation Manager(DSM)의 Auth API에서 SQL 명령에 쓰이는 특수 요소가 적절히 무력화되지 않는 결함(CWE-89)입니다. Synology의 권고 SA-26:19는 원격 공격자가 임의의 파일을 읽거나 쓰고 서비스 거부를 일으킬 수 있다고 밝히며, CVSS는 9.8이고 인증이 필요 없습니다. DSM 7.4, 7.3, 7.2.2, 7.2.1에 수정 릴리스가 있고, 권고에는 완화책이 없으며, 악용은 보고되지 않았습니다. 같은 권고의 rsync 인증 우회(CVE-2026-85101, 8.6)도 같은 릴리스에서 수정됩니다. 이 사이트의 견해: NAS를 인터넷에 직접 노출하고 있다면 먼저 DSM을 업데이트하고, 노출 방식 자체도 다시 생각하세요.