CríticoCVSS9.82026-11-13
CVE-2026-76954 — injeção de SQL na API Auth do Synology DSM (sem autenticação, CVSS 9.8; corrigido na 7.2.1-69057-13 e outras): explicação e correção
Neutralização imprópria de elementos especiais em um comando SQL (CWE-89) na API Auth do Synology DiskStation Manager (DSM). O boletim SA-26:19 da Synology diz que invasores remotos poderiam ler ou gravar arquivos arbitrários e causar negação de serviço; o CVSS é 9.8 e não é necessária autenticação. Há versões corrigidas para o DSM 7.4, 7.3, 7.2.2 e 7.2.1, o boletim não lista nenhuma mitigação e não há relato de exploração. O contorno de autenticação do rsync do mesmo boletim (CVE-2026-85101, 8.6) é corrigido nas mesmas versões. A visão deste site: se um NAS está exposto diretamente à internet, atualize primeiro o DSM e repense a própria exposição.