VULNERABILIDADDetectada 15 OCT · 09:06

CVE-2026-50612 Ejecución remota de código mediante seguimiento de enlaces simbólicos en la importación de QuMagie

Una vulnerabilidad de seguimiento de enlaces simbólicos afecta a QuMagie. Si un atacante remoto obtiene una cuenta de usuario, puede explotarla para comprometer la seguridad del sistema. Corregido en QuMagie 2.9.2 y posteriores.

9.4CRÍTICA

CVSS 4.0

Probabilidad de explotación0,5 %
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

QNAP Systems Inc. QuMagie
desde 2.9.x hasta antes de 2.9.2

Qué hacer

Verificá si usás QuMagie y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 9.4 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Alta
Disponibilidad (sistema vulnerable)Alta
Confidencialidad (sistemas posteriores)Alta
Integridad (sistemas posteriores)Alta
Disponibilidad (sistemas posteriores)Alta

Descripción original

An unix symbolic link (symlink) following vulnerability has been reported to affect QuMagie. If a remote attacker gains a user account, they can then exploit the vulnerability to compromise the security of the system. We have already fixed the vulnerability in the following version: QuMagie 2.9.2 and later

Referencias (1)

www.qnap.com/en/app_releasenotes/list.php?app_choose=qumagie

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.