Synology ha corregido una vulnerabilidad de Cross-Site Scripting (CWE-79) en el reproductor de audio de su sistema operativo DiskStation Manager (DSM). La falla, catalogada como CVE-2026-13656 con un CVSS de 5.4 (severidad media), permite a un usuario remoto que ya tenga credenciales válidas en el sistema leer o escribir archivos específicos, lo que podría llevar a la filtración de información sensible o a la modificación de configuraciones.
La vulnerabilidad afecta a versiones de DSM anteriores a la 7.3.2-86009-5 y a la 7.4.1-90080-1. Aunque la técnica asociada (T1189 – Drive-by Compromise) sugiere un riesgo de compromiso, el INCIBE-CERT la clasifica con una severidad práctica (P), y actualmente no hay hosts expuestos detectados en Shodan, lo que indica que el volumen de sistemas directamente atacables desde internet es bajo.
| CVE | CVE-2026-13656 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.4 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.