Múltiples vulnerabilidades en DSM de Synology

Fecha de publicación 21/09/2026

Identificador

INCIBE-2026-650

Importancia

5 - Crítica

Recursos Afectados

Synology DSM 7.4, versiones anteriores a 7.4-90075.
Synology DSM 7.3, versiones anteriores a 7.3.2-86009-4.
Synology DSM 7.2.2, versiones anteriores a 7.2.2-72806-9.
Synology DSM 7.2.1, versiones anteriores a 7.2.1-69057-12.

Descripción

Lam Jun Rong, DungNBN, Scamman, Uky, Juhyeop Lee, Brendan O'Rourke y WinD39 han informado sobre 8 vulnerabilidades: 2 de severidad crítica, 2 de severidad alta, 2 de severidad media y 2 de severidad baja que, en caso de ser explotadas, podrían permitir la lectura o escritura arbitraria de archivos, la divulgación de información, ataques Cross-Site Scripting (XSS), inyección SQL o provocar una denegación de servicio (DoS).

Solución

Actualizar Synology DSM a las siguientes versiones:

DSM 7.4: versión 7.4-90075 o posterior.
DSM 7.3: versión 7.3.2-86009-4 o posterior.
DSM 7.2.2: versión 7.2.2-72806-9 o posterior.
DSM 7.2.1: versión 7.2.1-69057-12 o posterior.

Synology no ha proporcionado medidas alternativas para corregir estas vulnerabilidades.

Detalle

CVE-2026-13684: vulnerabilidad de codificación o escape incorrecto de la salida en SCGI. Un atacante remoto no autenticado podría explotarla para leer o escribir archivos arbitrarios y provocar una denegación de servicio.
CVE-2026-13639: vulnerabilidad causada por el uso de entropía insuficiente en la lógica de inicio de sesión. Un atacante remoto no autenticado podría leer o escribir archivos arbitrarios y provocar una denegación de servicio.

CVE