葆光系統 POS餐飲系統存在 Missing Authentication 漏洞，遠端未經身分鑑別者可直接操作系統，CVE-2026-19426，CVSS 8.2，建議立即聯繫廠商修補並限制存取。
TVN-202607010 揭露 葆光系統 開發之 POS餐飲系統 存在 Missing Authentication 漏洞，對應 CVE-2026-19426，CVSS 為 8.2 (High)，向量為 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N。[1]
公告指出，未經身分鑑別之遠端攻擊者可直接存取系統並進行操作，顯示此弱點的核心問題不在於複雜的繞過技巧，而是關鍵功能缺少必要的驗證門檻。[1]
該漏洞由 mlgzackfly (cymetrics) 通報，公開日期為 2026-08-12。[1]
Missing Authentication 屬於典型的存取控制缺陷，表示系統中的重要操作未正確要求身份驗證即可被呼叫。[1]
從公告的 CVSS 向量來看，攻擊條件具有明顯的遠端可達性，且不需要任何權限或使用者互動，代表攻擊面可直接暴露在網路層，風險來自於管理介面、服務端點或可被請求觸發的功能未設防。[1]
影響結果反映在 C:L 與 I:H：資訊外洩程度為低，但完整性風險高，意味著攻擊者即使無法大規模讀取資料，仍可能對系統操作、交易流程或管理設定造成實質改變。[1]
由於公告未提供版本範圍、攻擊鏈細節或利用條件，因此不應自行推斷是否存在特定 API、管理帳號或預設憑證問題；目前可確定的是，漏洞本質是「缺少驗證」而非「驗證失敗後再被突破」。[1]
受影響產品為 葆光POS餐飲系統。[1]
公告未列出受影響版本，因此現階段應以「公告所示產品範圍內的部署環境」進行盤點，而非假設只有某一版受影響。[1]
對餐飲 POS 而言，若攻擊者能直接操作系統，最直接的風險通常會落在交易流程、營運資料、管理設定與現場服務穩定性；但在本案中，只有「可直接存取並操作系統」這一點被明確揭露，其他後果不應超出公告內容進行延伸描述。[1]
對於已連網或可由內部網段直達的 POS 主機，這類漏洞的優先級通常高於一般資訊系統，因為 POS 常同時承擔前台交易與後台管理，單點失守可能立即反映在營運流程上。[1]
公告提供的官方處置方向為 聯繫廠商採取修補措施，這應列為首要行動。[1]
在修補完成前，應先縮小系統暴露面，將 POS 介面限制在受信任的內部網路或必要管理來源，避免任何不必要的遠端可達性。[1]
同時應檢查是否存在對外開放的管理埠、服務埠或轉發規則，因為此類 Missing Authentication 弱點通常在可被網路直接觸達時風險最高。[1]
營運面上，建議將 POS 與一般辦公網路、訪客網路、測試環境做區隔，並保留可回復的備份與還原流程，以降低遭未授權操作時的業務衝擊。[1]
若廠商尚未提供可立即套用的修補版本，則應以存取控制、網段隔離、最小暴露原則與事件監控作為過渡性防護，並持續追蹤廠商後續公告。[1]