CVE-2026-22896

Description

A cross-site scripting (XSS) vulnerability has been reported to affect Network & Virtual Switch. If a remote attacker gains an administrator account, they can then exploit the vulnerability to inject malicious code. We have already fixed the vulnerability in the following version: Network & Virtual Switch in QTS 5.1.8.2823 build 20240712 and later Network & Virtual Switch in QTS 5.2.1.2930 build 20241025 and later Network & Virtual Switch in QuTS cloud c5.2.4.3041 build 20250211 and later Network & Virtual Switch in QuTS hero h5.1.8.2823 build 20240712 and later Network & Virtual Switch in QuTS hero h5.2.1.2929 build 20241025 and later

Gravité et risque d'exploitation

CVE-2026-22896 obtient un score CVSS de 6.2/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.36 %, ce qui la place devant 28.3 % des CVE référencées.

Que faire ?

• Vérifiez si Network & Virtual Switch (versions <QTS 5.2.1.2930 build 20241025, <QTS 5.1.8.2823 build 20240712, QuTS hero h5.1.x, <QuTS cloud c5.2.4.3041 build 20250211, QTS 5.1.x, QuTS hero h5.2.x, <QuTS hero h5.1.8.2823 build 20240712, QTS 5.2.x, QuTS cloud c5.2.x, <QuTS hero h5.2.1.2929 build 20241025) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://www.qnap.com/en/release-notes/qts/5.1.8.2823/20240712
• https://www.qnap.com/en/release-notes/qts/5.2.1.2930/20241025
• https://www.qnap.com/en/release-notes/qutscloud/c5.2.4.3041/20250211
• https://www.qnap.com/en/release-notes/quts_hero/h5.1.8.2823/20240712
• https://www.qnap.com/en/release-notes/quts_hero/h5.2.1.2929/20241025