PT-2025-46145 · Qnap · Qts+1

Le Mau Anh Phong · Publicado 2025-11-08 · Atualizado 2026-03-16 · CVE-2025-62849

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do QNAP QTS anteriores a 5.2.7.3297 build 20251024 Versões do QNAP QuTS hero anteriores a h5.2.7.3297 build 20251024 Versões do QNAP QuTS hero anteriores a h5.3.1.3292 build 20251024

Descrição Uma falha de injeção de SQL existe em dispositivos NAS QNAP que executam os sistemas operacionais QTS e QuTS hero. A exploração bem-sucedida desta falha pode permitir que um atacante remoto execute código não autorizado e potencialmente comprometa o dispositivo. A vulnerabilidade permite que atacantes executem código ou comandos não autorizados.

Recomendações Atualize o QTS para a versão 5.2.7.3297 build 20251024 ou posterior. Atualize o QuTS hero para a versão h5.2.7.3297 build 20251024 ou posterior. Atualize o QuTS hero para a versão h5.3.1.3292 build 20251024 ou posterior.

Correção

RCE

Use After Free

SQL injection

Enumeração de Fraquezas

CWE-416

CWE-89

Identificadores relacionados

BDU:2025-16028

CVE-2025-62849

ZDI-26-200

Produtos afetados

Qts

Quts Hero

Referências · 13

• https://twitter.com/CVEnew/status/2002835995616485817 · Publicação no Twitter
• https://t.me/cveNotify/146079 · Publicação no Telegram
• https://t.me/true_secator/7607 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-16028 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-26-200 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2000807220439548173 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-62849 · Nota de Segurança
• https://securityonline.info/critical-warning-qnap-patches-seven-zero-days-exploited-at-pwn2own-2025 · Nota
• https://qnap.com/en/security-advisory/qsa-25-45 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-62849 · Aviso do Fabricante
• https://twitter.com/wazuh/status/2003418727123988728 · Publicação no Twitter
• https://t.me/CVEtracker/39916 · Publicação no Telegram
• https://cybersecuritynews.com/qnap-zero-day-vulnerabilities-exploited · Nota