國立中央大學 系統目錄瀏覽導致學生個資及部分健康資料外洩 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2025-01064
  •  發信 Vendor: 國立中央大學
  • Title: 國立中央大學 系統目錄瀏覽導致學生個資及部分健康資料外洩
  • Introduction: 系統開啟目錄瀏覽，導致學生名單及人員報告等敏感資料外洩

處理狀態

目前狀態

公開
Last Update : 2025/09/12
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 未複測
  • 公開

處理歷程

  • 2025/08/26 01:48:40 : 新提交 (由 肉 更新此狀態)
  • 2025/08/26 01:53:06 : 新提交 (由 肉 更新此狀態)
  • 2025/08/29 14:28:33 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/02 11:43:24 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/02 11:43:25 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/02 11:43:25 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/03 14:20:37 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/09/04 10:58:21 : 已修補 (由 組織帳號 更新此狀態)
  • 2025/09/12 03:00:19 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2025-01064
  • 通報者：kevin2758 (肉)
  • 風險：高
  • 類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://ncu.edu.tw/epsc/storage/Reports/
https://ncu.edu.tw/epsc/storage/Eduapply/

敘述

中央大學環境保護暨安全衛生中心系統目錄開啟瀏覽功能，導致敏感檔案可被任意下載

  • 外洩資料類型
    1. 學生個資(Eduapply目錄)包含學號、姓名、系所
    2. 健康監測資料包含部分身分證字號、姓名及單位

重現步驟

  1. 直接訪問 https://ncu.edu.tw/epsc/storage/Eduapply/Attendancelist/Eduapply20250825181007.docx
    可查看學生個資包含學號、姓名、系所
    圖片
  2. 直接訪問 https://ncu.edu.tw/epsc/storage/Reports/20250813/58a6fd4f52765bae47d958ce1ece03f6.pdf
    可查看健康監測資料包含部分身分證字號、姓名及單位
    圖片

影響

  • 雖然是部分身分證，但也不建議暴露在網路上
  • 學生個資可以收集

修補建議

1. 關閉所有目錄瀏覽功能
2. 移除或限制敏感檔案存取

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;