QNAP wäre auch der letzte Laden, dem ich Sicherheitslücken oder Bugs melden würde!
So viel Mühe, wie die sich im Support geben, würde ich solche Infos eher in einem "öffentlichen Board" posten.
Ganz im Gegenteil zu AVM, denen habe ich schon öfter mal einen Bug oder ähnliches gemeldet; und die waren offen und zugänglich. Man gab mir Rückmeldung aus der Entwicklung und eine Roadmap zum Fix.