監理服務網網站個資漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2025-00756
  •  發信 Vendor: 交通部公路局
  • Title: 監理服務網網站個資漏洞
  • Introduction: 列印收據有一個Bug，會顯示前一筆繳費人的資料，應該是系統在列印程式沒有在初始做clear動作，或cookie設定有問題

處理狀態

目前狀態

公開
Last Update : 2025/09/18
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2025/07/19 13:16:33 : 新提交 (由 SIRIUS 更新此狀態)
  • 2025/07/22 13:14:26 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/08/01 18:16:37 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/08/01 18:16:37 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/08/01 18:16:37 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/18 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2025-00756
  • 通報者：Sirius_W (SIRIUS)
  • 風險：中
  • 類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://www.mvdis.gov.tw/m3-emv-cas/login?service=https%3A%2F%2Fwww.mvdis.gov.tw%2Fm3-emv-mem%2Flogin%2Fcas#gsc.tab=0

敘述

  • 類型：跨使用者資料洩露 (Sensitive Data Exposure)
  • OWASP 對應：A03:2021 – Sensitive Data Exposure、A05:2021 – Security Misconfiguration
  • 原因：列印程式未初始化清除上一筆資料、HTTP Cache／Cookie 設定不當
  1. 使用使用者 A 的帳號登入系統，進行「線上繳費」並完成付款。
  2. 點擊「列印收據」按鈕，系統顯示繳費成功頁面並下載或開啟收據 PDF。
  3. 同裝置，切換到使用者 B 的帳號並重複步驟 2。
  4. 在使用者 B 的繳費收據中，仍然會看到使用者 A 的姓名、金額等敏感資訊。(列印PDF時)

修補建議

1. 列印前清除緩存變數：在印出每張收據前，務必將承載使用者資料的物件／緩衝區重新初始化
2. 正確設定快取標頭：在 HTTP 回應中加入，避免瀏覽器／中介快取保存敏感頁面
3. 檢查 cookie 與 session 管理：確保每次列印請求都對應到正確的 session，避免同一份 session 在多用戶間共用

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;