漏洞概述 CVE编号: CVE-2026-25600 漏洞类型: 凭证暴露（Credential Exposure） 受影响产品: Trac d.o.o. 的 PDBM (Process Database Manager) 漏洞描述: PDBM 应用程序在静态的、硬编码的密钥中嵌入了加密秘密，该密钥用于应用程序的加密和解密例程。攻击者可以通过提取该密钥来解密存储在配置文件中的管理员密码，从而获得对 PDBM 管理界面及其底层操作功能的完全访问权限。 影响范围 受影响版本: PDBM 1.0.0.0 CVSS评分: 6.4 (CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) CWE编号: CWE-798: Use of Hardcoded Credentials 影响: 攻击者可以利用此漏洞获取管理员凭证，进而对 PDBM 应用及其连接的 ICS/OT 环境进行未授权操作，可能导致工业流程的操纵、运营中断或关键基础设施网络中的横向移动。 修复方案 修复版本: PDBM 2.0.0.0 修复措施: 在 2.0.0.0 版本中，应用程序不再包含硬编码密钥，而是使用基于哈希的认证机制。 额外建议: - 访问控制: 确保对应用程序环境和配置文件只有授权人员才能访问。 - 监控: 实施监控和日志记录，以检测任何未经授权的访问尝试或可疑活动。 时间线 2026年1月15日: 初始报告提交给 SI-CERT。 2026年1月21日: 漏洞研究员提供了关于已识别问题的详细技术信息。 2026年2月3日: 正式通知供应商。 2026年5月29日: 发布 advisory。 致谢 发现者: Miho Mišić，Combis d.o.o., Croatia 的渗透测试员。 联系方式 SI-CERT 地址: ARNES, Tehnološki park 18, 1000 Ljubljana 电话: 01 479 88 00 邮箱: info@cert.si 其他相关信息 相关漏洞: - CVE-2026-25599: Orca heat pumps 的缺失认证和明文数据传输。 - CVE-2025-42611: RouterOS 服务中的认证绕过。 - VANTAGE: 全球增强测试自动化漏洞评估。 代码块 页面中未包含 POC 代码或利用代码。