eTop-工程科技推展平台資料庫檔案公開下載漏洞

Vulnerability Overview

ZDID: ZD-2025-01056
發信 Vendor: 國家科學及技術委員會
Title: eTop-工程科技推展平台資料庫檔案公開下載漏洞
Introduction: 網站多個年度的 SQLite 資料庫檔案可直接下載

感謝函

處理狀態

目前狀態

公開

Last Update : 2025/08/31

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2025/08/24 23:36:39 : 新提交 (由肉更新此狀態)
2025/08/27 09:54:31 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/27 12:19:28 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/27 12:19:28 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/27 12:19:28 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/27 16:04:08 : 複測申請中 (由組織帳號更新此狀態)
2025/08/27 16:22:05 : 確認已修補 (由肉更新此狀態)
2025/08/31 03:00:14 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-01056
通報者：kevin2758 (肉)
風險：高
類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

網站伺服器開啟目錄瀏覽功能，導致多個年度的 SQLite 資料庫檔案完全暴露。攻擊者無需任何身份驗證即可直接下載完整的資料庫檔案，包含可能的參展單位、人員資料等敏感資訊。

重現步驟

訪問 https://site.etop.org.tw/2023/SNAME/ 可看到目錄結構
進入 /db 子目錄：https://site.etop.org.tw/2023/SNAME/db/
發現 dep.sqlite 檔案（12MB，最後修改時間 2024-02-05 13:35）
點擊即可直接下載完整資料庫檔案
同樣問題存在於 2022 年度目錄：https://site.etop.org.tw/2022/SNAME/
使用 SQLite 工具即可開啟查看所有資料表內容，確認包含少數個資