Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2021-00206
- Vendor: 香港商宇晨品牌顧問有限公司台灣分公司
- Title: 享健身xarefit 任意訪問/下載所有會員個資
- Introduction: ...
處理狀態
目前狀態
公開
Last Update : 2021/06/19
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2021/04/19 17:33:37 : 新提交 (由 niench20 更新此狀態)
- 2021/04/19 17:34:15 : 新提交 (由 niench20 更新此狀態)
- 2021/04/19 17:35:30 : 新提交 (由 niench20 更新此狀態)
- 2021/04/19 18:36:23 : 新提交 (由 niench20 更新此狀態)
- 2021/04/19 18:53:29 : 新提交 (由 niench20 更新此狀態)
- 2021/04/19 23:31:47 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2021/04/20 11:11:39 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2021/04/20 11:11:39 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2021/04/20 11:11:39 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2021/06/19 03:00:08 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID:ZD-2021-00206
- 通報者:niench20 (niench20)
- 風險:高
- 類型:不安全的直接存取物件 (Insecure Direct Object References, IDOR)
參考資料
攻擊者可經由該漏洞取得系統中的其他使用者的資料或是系統檔案。
OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References
Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md
OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References
Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md
OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)
相關網址
https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570&type=phone&phone=0912345678
https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570
https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570
敘述
-
請求沒有嚴格驗證機制,只要遍歷member_id就可以訪問或下載個資
-
手機號碼phone參數未驗證,錯誤的手機號碼對應到存在的member id都可以取得伺服器回應(例如請求 https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570&type=phone&phone=0912345678 就可以取得會員570的個資、身分證圖片、正楷簽名)
或是把phone=09xxx去除 (https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570) 也可以得到伺服器回應 -
對member_id遞增請求,就可以取得所有會員個資(合約編號、姓名、手機號碼、身分證或是居留證圖片、正楷簽名、緊急聯絡人姓名、緊急連絡人關係、緊急連絡人電話)
除了以上漏洞,好像還有很多嚴重問題????
擷圖
留言討論
登入後留言
聯絡組織
發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。