CVE-2026-26289: Exposição de Dados em PowerSYSTEM Center
Plataforma
other
Componente
subnet-solutions-powersystem-center
Corrigido em
5.28.1
A vulnerabilidade CVE-2026-26289 afeta o PowerSYSTEM Center, permitindo a exposição de dados sensíveis através de sua API REST. Um usuário autenticado com permissões limitadas pode exportar informações que normalmente seriam restritas a administradores. As versões afetadas são 5.8.0 até 7.0.x, e a correção está disponível na versão 5.28.1.
Impacto e Cenários de Ataque
Esta vulnerabilidade permite que um atacante, após autenticação com credenciais de usuário de baixo privilégio, acesse e exporte dados confidenciais que deveriam ser protegidos. O impacto pode ser significativo, incluindo a divulgação de informações de configuração, credenciais de dispositivos ou outros dados sensíveis relacionados ao sistema PowerSYSTEM Center. Um ataque bem-sucedido pode levar a comprometimento da confidencialidade e, potencialmente, a acesso não autorizado a outros sistemas conectados ao PowerSYSTEM Center. A exposição de dados pode facilitar a identificação de outros pontos fracos no ambiente, ampliando o raio de impacto do ataque.
Contexto de Exploração
A vulnerabilidade foi publicada em 2026-05-12. A probabilidade de exploração é considerada média, dada a necessidade de autenticação, mas a facilidade de exploração pode aumentar a probabilidade. Não há informações disponíveis sobre campanhas ativas ou uso em ataques direcionados no momento da publicação. A vulnerabilidade não está listada no KEV (Known Exploited Vulnerabilities) no momento da publicação.
Inteligência de Ameaças
Status do Exploit
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Adjacente — exige proximidade de rede: mesma LAN, Bluetooth ou segmento local.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Alterado — o ataque pode pivotar para além do componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Baixo — o atacante pode modificar alguns dados com alcance limitado.
- Availability
- Baixo — negação de serviço parcial ou intermitente.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
Mitigação e Soluções Alternativas
A mitigação primária é a atualização para a versão 5.28.1 do PowerSYSTEM Center. Se a atualização imediata não for possível, considere restringir o acesso à API REST do PowerSYSTEM Center, limitando as permissões dos usuários autenticados. Implemente regras de firewall para bloquear o acesso não autorizado à API. Monitore os logs do PowerSYSTEM Center em busca de atividades suspeitas, como tentativas de exportação de dados por usuários com permissões limitadas. Verifique, após a atualização, se a exportação de dados sensíveis está devidamente restrita a usuários administrativos.
Como corrigirtraduzindo…
Actualice PowerSYSTEM Center a la versión 5.28.1 o posterior, 6.1.1 o posterior, o 7.0.0 o posterior para mitigar la vulnerabilidad. Esta actualización corrige el problema de autorización incorrecta en la API REST de exportación de cuentas de dispositivos, evitando la exposición de información sensible.
Perguntas frequentes
O que é CVE-2026-26289 — Exposição de Dados em PowerSYSTEM Center?
CVE-2026-26289 é uma vulnerabilidade de exposição de dados no PowerSYSTEM Center, onde usuários autenticados com permissões limitadas podem exportar informações sensíveis normalmente restritas a administradores. A vulnerabilidade recebe um CVSS de 8.2 (ALTO).
Estou afetado pelo CVE-2026-26289 em PowerSYSTEM Center?
Se você estiver utilizando o PowerSYSTEM Center nas versões 5.8.0 até 7.0.x, você está potencialmente afetado. Verifique a versão instalada e aplique a correção o mais rápido possível.
Como corrigir CVE-2026-26289 em PowerSYSTEM Center?
A correção oficial é atualizar o PowerSYSTEM Center para a versão 5.28.1. Se a atualização não for imediata, restrinja o acesso à API REST e monitore os logs.
CVE-2026-26289 está sendo ativamente explorado?
Não há relatos públicos de exploração ativa no momento da publicação, mas a facilidade de exploração pode aumentar a probabilidade de ataques futuros.
Onde posso encontrar o advisory oficial do PowerSYSTEM Center para CVE-2026-26289?
Consulte o site oficial do fabricante do PowerSYSTEM Center para obter o advisory de segurança correspondente ao CVE-2026-26289. Verifique a seção de segurança ou vulnerabilidades.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...