危急CVSS9.82026-11-13
CVE-2026-76954 — Synology DSM Auth API 中的 SQL 注入（未認證，CVSS 9.8；已在 7.2.1-69057-13 等版本中修復）：解析與對策
Synology DiskStation Manager（DSM）的 Auth API 中存在 SQL 命令中特殊元素的不當中和（CWE-89）。Synology 的公告 SA-26:19 稱，遠端攻擊者可能讀取或寫入任意檔案並造成拒絕服務；CVSS 為 9.8，無需認證。DSM 7.4、7.3、7.2.2 和 7.2.1 均已有修復版本，公告未列出緩解措施，也未見利用報告。同一公告中的 rsync 認證繞過（CVE-2026-85101，8.6）在相同版本中一併修復。本站觀點：如果 NAS 直接暴露在網際網路上，請先更新 DSM，並重新考慮暴露方式本身。