КритическаяCVSS9.82026-11-13
CVE-2026-76954 — SQL-инъекция в Auth API Synology DSM (без аутентификации, CVSS 9.8; исправлено в 7.2.1-69057-13 и других): разбор и исправление
Некорректная нейтрализация специальных элементов в SQL-команде (CWE-89) в Auth API Synology DiskStation Manager (DSM). В бюллетене Synology SA-26:19 сказано, что удалённые злоумышленники могут читать и записывать произвольные файлы и вызывать отказ в обслуживании; CVSS — 9.8, аутентификация не нужна. Исправленные выпуски есть для DSM 7.4, 7.3, 7.2.2 и 7.2.1, мер смягчения в бюллетене нет, об эксплуатации не сообщается. Обход аутентификации в rsync из того же бюллетеня (CVE-2026-85101, 8.6) исправлен в тех же выпусках. Оценка этого сайта: если NAS напрямую доступен из интернета, сначала обновите DSM и пересмотрите саму схему доступа.