Vulnerability Overview

ZDID: ZD-2023-00202
發信 Vendor: Dent&Co牙醫小幫手
Title: 牙醫小幫手診所病患看診資訊 API 無加密
Introduction: API 無做任何加密，完全公開病患看診資料以及個資

處理狀態

目前狀態

公開

Last Update : 2023/06/24

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2023/05/16 03:49:00 : 新提交 (由鄉民更新此狀態)
2023/05/20 01:08:26 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/05/29 21:01:34 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/05/29 21:01:34 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/06/06 14:23:32 : 複測申請中 (由組織帳號更新此狀態)
2023/06/24 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2023-00202
通報者：鄉民
風險：高
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

影響

相關網址的內容包含病患的姓名，手機號碼，身分證字號，看診時間的私人資訊，完全可以在瀏覽器上面觀看

漏洞描述

https://admin.dentco.tw/api/search_temporary_reserve.php/?limit=50&page=1&clinic_code=3701183818&start_time=2023-05-16&end_time=2023-05-17
網址 clinic_code 只要輸入診所醫事代碼， start_time & end_time 輸入日期，即可看到診所當日所有病患的個資
醫事代碼查詢： https://info.nhi.gov.tw/INAE1000/INAE1000S01

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

牙醫小幫手診所病患看診資訊 API 無加密 - HITCON ZeroDay

Vulnerability Detail Report