TWCERT/CC 公告指出，融易網路 GPM LIGHT 存在 Sensitive Data Exposure，未經身分鑑別的遠端攻擊者可直接存取系統日誌。此漏洞編號為 CVE-2026-97181，CVSS 3.1 為 5.3，廠商已完成修補並提供後續技術支援。
根據 TWCERT/CC 公告，融易網路開發的 GPM LIGHT（綠色供應鏈管理系統）存在 Sensitive Data Exposure 漏洞，編號為 TVN-202609010，對應 CVE-2026-97181。公告指出，未經身分鑑別的遠端攻擊者可直接存取系統日誌，顯示系統對敏感資訊的存取控制不足，且曝露面已達網路層級。
此案公開日期為 2026-09-24，CVSS 評分為 6.9（Medium），CVSS 3.1 為 5.3（Medium）。公告同時載明，廠商已主動聯繫用戶並完成修補；若後續仍有系統維護需求，使用者需聯繫廠商技術支援。
從漏洞描述來看，問題核心不在複雜的權限繞過，而在於系統日誌的存取邊界未被妥善保護。當攻擊者無需身分鑑別即可直接讀取日誌時，代表日誌查閱介面、檔案路徑、API 或後端權限控管至少有一項存在缺口。這類問題通常屬於 Sensitive Data Exposure，若日誌內含有帳號、操作紀錄、內部路徑、錯誤堆疊或其他可辨識資訊，後續風險會進一步擴大。
依公告資訊，此漏洞的攻擊前提是遠端且未經身分鑑別，因此不需要內網滲透或先前帳號即可觸發。CVSS 3.1 向量為 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N，反映其利用門檻低、可直接透過網路接觸，但主要影響集中在機密性而非完整性或可用性。這也意味著風險評估應優先關注資料外洩、操作軌跡暴露，以及日誌中可能揭露的環境資訊。
從防禦角度觀察，日誌本身經常被視為維運工具而非高價值資產，因而容易在設計上出現「可讀性優先、存取控制次之」的情況。一旦日誌內容包含敏感資料，攻擊者可藉由被動讀取取得系統行為、內部命名規則、錯誤訊息與潛在弱點線索，進一步為後續攻擊提供情報。雖然公告未揭露更細節的利用流程，但單純的日誌暴露已足以構成明確的資訊安全事件。
受影響產品為融易網路的 GPM LIGHT - 綠色供應鏈管理系統。就公告內容而言，受影響面向是系統日誌的可存取性，而非單一功能模組或局部頁面，因此實際波及範圍取決於部署方式、日誌保存內容，以及該系統是否對外開放存取介面。
若 GPM LIGHT 在生產環境中承載供應鏈流程、帳務紀錄或維運軌跡，日誌外洩可能進一步暴露組織內部流程、系統結構與敏感操作資訊。對資安治理而言，這類問題不只影響單一系統，也可能間接影響稽核、事件調查與後續補救作業，因為日誌資料一旦被非授權讀取，原本用於追查事件的證據鏈也可能被第三方掌握。
公告未提供其他受影響版本或特定部署條件，因此在缺乏更多細節時，應將所有仍在使用中的 GPM LIGHT 部署納入盤點範圍，並確認是否已完成廠商修補。對於尚未確認修補狀態的環境，應視為仍具風險。
第一步應立即確認 GPM LIGHT 是否已套用廠商修補，並盤點所有仍在運作的實例。若系統尚未完成更新，應優先與廠商技術支援聯繫，取得維護與修補指引，避免以臨時性設定長期替代正式修補。
第二步是檢查日誌存取權限，確保日誌檔案、下載介面、查詢 API 與後端儲存路徑都受到最小權限控制。任何可由未登入使用者直接讀取的路徑，都應立即關閉或加上驗證機制，並避免讓日誌回傳完整錯誤堆疊、內部路徑與敏感欄位內容。
第三步應檢視日誌內容本身，移除或遮罩不必要的敏感資訊，例如憑證、token、個資、內部識別碼與詳細系統參數。若無法立即調整產生日誌的程式邏輯，至少應降低輸出敏感欄位的機率，並縮短日誌保存週期，以減少外洩後的可利用價值。
第四步是強化監控與稽核，對異常日誌讀取、非預期的查詢行為、失敗登入後的持續存取嘗試建立告警。由於此漏洞屬於可遠端且無須身分鑑別的資訊暴露，任何與日誌相關的異常流量都應列入優先觀察。
第五步，應將此事件納入弱點管理與供應商風險管理流程，要求後續版本更新時提供更清楚的存取控制說明與修補驗證結果。對內部而言，也應建立日誌資料分級制度，避免將維運資訊與敏感資料混雜在同一個可公開或低權限存取的管道中。