未认证

CVE-2026-76954 — Synology DSM Auth API 中的 SQL 注入（未认证，CVSS 9.8；已在 7.2.1-69057-13 等版本中修复）：解析与对策

Synology DiskStation Manager（DSM）的 Auth API 中存在 SQL 命令中特殊元素的不当中和（CWE-89）。Synology 的公告 SA-26:19 称，远程攻击者可能读取或写入任意文件并造成拒绝服务；CVSS 为 9.8，无需认证。DSM 7.4、7.3、7.2.2 和 7.2.1 均已有修复版本，公告未列出缓解措施，也未见利用报告。同一公告中的 rsync 认证绕过（CVE-2026-85101，8.6）在相同版本中一并修复。本站观点：如果 NAS 直接暴露在互联网上，请先更新 DSM，并重新考虑暴露方式本身。