CVE-2018-19953: qnap qts

csirt@kutim:~/threat-intel/cve/CVE-2018-19953

CVSS 6.1 · Medium KEV · sudah dieksploitasi Dipakai ransomware EPSS 29,0%

Kerentanan Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') pada qnap qts. Skor CVSS 3.1 6.1 (Medium) menurut NVD. Masuk katalog KEV CISA pada 24 Mei 2022, artinya sudah terbukti dieksploitasi. Tercatat dipakai dalam kampanye ransomware.

Deskripsi (NVD)

If exploited, this cross-site scripting vulnerability could allow remote attackers to inject malicious code. QNAP has already fixed the issue in the following QTS versions. QTS 4.4.2.1231 on build 20200302; QTS 4.4.1.1201 on build 20200130; QTS 4.3.6.1218 on build 20200214; QTS 4.3.4.1190 on build 20200107; QTS 4.3.3.1161 on build 20200109; QTS 4.2.6 on build 20200109.

Rincian

Terbit di NVD: 28 Oktober 2020
Terakhir diubah: 1 Oktober 2026
Status NVD: Analyzed
CVSS 3.1: 6.1 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
EPSS (30 hari): 29,0% peluang dieksploitasi; lebih tinggi dari 98,1% CVE lain

Known Exploited Vulnerabilities (CISA)

Nama: QNAP NAS File Station Cross-Site Scripting Vulnerability
Masuk KEV: 24 Mei 2022
Tenggat CISA: 14 Juni 2022 (untuk instansi federal AS)
Ransomware: Tercatat dipakai dalam kampanye ransomware
Tindakan wajib: Apply updates per vendor instructions.

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
qnap	qts	Semua versi sebelum 4.2.6
qnap	qts	Versi 4.3.1.0013 hingga sebelum 4.3.3.1161
qnap	qts	Versi 4.3.4 hingga sebelum 4.3.4.1190
qnap	qts	Versi 4.3.6 hingga sebelum 4.3.6.1218
qnap	qts	Versi 4.4.0 hingga sebelum 4.4.1.1201
qnap	qts	Versi 4.4.2 hingga sebelum 4.4.2.1231
qnap	qts	Versi 4.2.6
qnap	qts	Versi 4.2.6 build_20170517
qnap	qts	Versi 4.2.6 build_20190322
qnap	qts	Versi 4.2.6 build_20190730
qnap	qts	Versi 4.2.6 build_20190921
qnap	qts	Versi 4.2.6 build_20191107

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://www.qnap.com/zh-tw/security-advisory/qsa-20-01 advisory vendor
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-19953 pemerintah AS

Sumber: NVD · CVE.org · KEV CISA · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.