【安全公告】阳光云web端存在登录绕过漏洞(SGSA-202608-0028)

漏洞描述

经分析，iSolarCloud 平台存在一处登录身份验证绕过漏洞。攻击者需事先掌握目标用户的有效邮箱地址，在登录页面选择"邮箱 + 密码"登录方式后，可通过构造特定的登录请求参数绕过登录环节的身份校验，在未完成有效身份认证的情况下，以该账户权限进入平台并查看该账户下已绑定设备的设备清单、运行状态与历史监测数据。

受影响版本

受影响版本：漏洞于2026年6月11日修复，在此之前系统存在这种安全风险。

不受影响版本：自2026年6月11日修复部署后，系统不再受该漏洞影响。

漏洞评分

CVSS（4.0）：9.2/严重/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:H/SC:H/SI:H/SA:H/S:P

采用CVSS 4.0标准的评分原则，评分标准可参考（https://www.first.org/cvss/calculator/4.0）

缓解与修复

建议行动：阳光云（iSolarCloud） 已于 2026 年 8 月 25 日完成升级与修复，无需客户采取升级行动。

补丁发布: /

缓解措施: /

致谢

感谢Marlon Starkloff对漏洞的发现与披露。

联系信息

如涉及阳光电源产品和解决方案的安全问题，请反馈至阳光电源psirt#sungrowpower.com（发送时请将#改为@）

修订历史

声明

本页面所称的任何软件/补丁均为阳光电源的版权作品，除用于产品修复目的外，您不得将软件/补丁进一步复制、修改、分发、公布、许可、转让、销售或通过反编译等方式尝试提取其源代码。

本文件不承诺任何明示、默示和法定的担保，包括但不限于对适销性、适用性及不侵权的担保。在任何情况下，阳光电源股份有限公司或其直接或间接控制的子公司对任何损失，包括直接、间接、偶然、必然的商业利润损失或特殊损失均不承担责任。您以任何方式使用本文件所产生的一切法律责任由您自行承担。阳光电源可以随时对本文件的内容和信息进行修改或更新。