CVE-2026-26289: 信息泄露在 PowerSYSTEM Center 中
平台
other
组件
subnet-solutions-powersystem-center
修复版本
5.28.1
CVE-2026-26289 是 PowerSYSTEM Center REST API 中的一个信息泄露漏洞。攻击者可以利用此漏洞，通过认证用户身份，导出设备账户信息，从而获取通常仅限管理员访问的敏感数据。该漏洞影响 PowerSYSTEM Center 5.8.0 到 7.0.x 版本，已于 2026 年 5 月 12 日发布。建议用户尽快升级至 5.28.1 版本以修复此安全问题。
影响与攻击场景
此漏洞的影响在于敏感信息的泄露。攻击者可以利用该漏洞获取设备账户信息，例如用户名、密码或其他配置数据。这些信息可能被用于进一步攻击，例如横向移动到其他系统，或者窃取敏感数据。虽然该漏洞需要认证用户身份，但权限较低的用户也可能利用此漏洞，从而扩大了攻击面。如果攻击者能够获取足够多的账户信息，他们可能能够完全控制受影响的系统。由于该漏洞涉及敏感数据的泄露，因此可能导致严重的业务影响，包括数据泄露、声誉损失和法律责任。
利用背景
目前尚无公开的漏洞利用代码 (POC)。该漏洞的 EPSS 评分尚未确定，但由于其高危评级和潜在的影响，应予以高度关注。NVD 和 CISA 已于 2026 年 5 月 12 日发布了该漏洞信息。建议用户密切关注相关安全公告，及时采取应对措施。
威胁情报
漏洞利用状态
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 相邻 — 需要网络邻近：相同LAN、蓝牙或本地无线网段。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 低 — 攻击者可修改部分数据，影响有限。
- Availability
- 低 — 部分或间歇性拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 发布日期
- 修改日期
缓解措施和替代方案
为了缓解 CVE-2026-26289 的风险，首要措施是升级至 PowerSYSTEM Center 5.28.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对 REST API 访问权限，仅允许授权用户访问设备账户导出功能；实施严格的身份验证和访问控制策略，确保只有具有必要权限的用户才能访问敏感数据；监控 REST API 的访问日志，及时发现异常活动。升级后，请验证 API 接口是否已正确修复，确认敏感信息不再能够被未经授权的用户访问。
修复方法翻译中…
Actualice PowerSYSTEM Center a la versión 5.28.1 o posterior, 6.1.1 o posterior, o 7.0.0 o posterior para mitigar la vulnerabilidad. Esta actualización corrige el problema de autorización incorrecta en la API REST de exportación de cuentas de dispositivos, evitando la exposición de información sensible.
常见问题
什么是 CVE-2026-26289 — 信息泄露在 PowerSYSTEM Center 中？
CVE-2026-26289 是 PowerSYSTEM Center REST API 中的一个安全漏洞，允许认证用户导出通常仅限管理员访问的敏感设备账户信息，导致信息泄露。
我是否受到 CVE-2026-26289 在 PowerSYSTEM Center 中的影响？
如果您正在使用 PowerSYSTEM Center 5.8.0 到 7.0.x 版本，则可能受到此漏洞的影响。请立即检查您的版本并升级。
我如何修复 CVE-2026-26289 在 PowerSYSTEM Center 中的漏洞？
升级至 PowerSYSTEM Center 5.28.1 或更高版本以修复此漏洞。如果无法立即升级，请实施临时缓解措施，例如限制 API 访问权限。
CVE-2026-26289 是否正在被积极利用？
目前尚无公开的漏洞利用代码，但由于其高危评级，应予以高度关注。
在哪里可以找到 PowerSYSTEM Center 官方关于 CVE-2026-26289 的公告？
请访问 PowerSYSTEM Center 官方网站或查阅相关的安全公告，以获取有关 CVE-2026-26289 的详细信息。
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...