國立成功大學課程帳號密碼資訊洩漏漏洞

Vulnerability Overview

ZDID: ZD-2025-01362
發信 Vendor: 國立成功大學雙語教育推動辦公室
Title: 國立成功大學課程帳號密碼資訊洩漏漏洞
Introduction: Google Dorking 發現公開 Excel 檔案洩漏課程共用帳密

處理狀態

目前狀態

公開

Last Update : 2025/11/21

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2025/10/28 21:20:08 : 新提交 (由肉更新此狀態)
2025/11/03 00:57:26 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/11/05 14:02:28 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/11/05 14:02:28 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/11/05 14:02:28 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/11/13 10:11:36 : 已修補 (由組織帳號更新此狀態)
2025/11/21 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-01362
通報者：kevin2758 (肉)
風險：中
類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

透過 Google Dorking 搜尋語法 密碼 site:*.edu.tw filetype:xlsx 發現成功大學網站存在資訊洩漏問題。

重現步驟

Google 搜尋：密碼 site:*.edu.tw filetype:xlsx
發現 URL：https://bestemi.ncku.edu.tw/file_download.php?kind=coursera_news&id=20
下載 Excel 檔案，內含課程共用帳號密碼
確認可成功登入

影響

任何人可透過 Google 搜尋取得帳密
未授權存取課程平台

修補建議

1. 立即移除或限制檔案存取權限
2. 變更已洩漏的帳號密碼
3. 檢查網站其他敏感檔案
4. 設置 robots.txt 防止搜尋引擎索引

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

國立成功大學課程帳號密碼資訊洩漏漏洞 - HITCON ZeroDay

Vulnerability Detail Report