百八魚場 │淡水店 POS 管理介面未授權對外曝露

Vulnerability Overview

ZDID: ZD-2025-01436
發信 Vendor: 百八魚場
Title: 百八魚場 │淡水店 POS 管理介面未授權對外曝露
Introduction: 該 POS 管理介面於未設置任何存取控制的情況下直接對外曝露，導致未授權者可逕行存取並操作系統設定。

處理狀態

目前狀態

公開

Last Update : 2026/01/24

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2025/11/24 02:55:23 : 新提交 (由 Marco 更新此狀態)
2025/11/26 19:47:47 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/12/05 15:55:02 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/12/05 15:55:02 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/12/05 15:55:02 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/01/24 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-01436
通報者：mlgzackfly (Marco)
風險：高
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

由公開網路情報取得標的線索

透過 FOFA 進行標的搜尋並定位公開服務
在 FOFA 進行 IP 搜尋時，發現目標設備之 8890/tcp 開放服務，其網頁 Title 顯示為「商家模式」，顯示後端管理介面可能已對外曝露。

直接嘗試連線後確認服務可未經授權存取
對該埠進行 HTTP 連線測試後，確認可在無任何身分驗證機制的情況下直接進入管理頁面，顯示存取控制缺失。

系統設定頁面揭露設備實際業主資訊
進入設定頁面後，於介面中可看到設備擁有者資訊顯示為 百八魚場 │淡水店，進一步確認本次暴露之設備屬該商家所有。

修補建議

1. **關閉不必要的對外服務與埠號**
針對 8890/tcp 等非營運必要的管理介面，應立即限制對外曝光，僅允許內部網段或特定管理來源存取，以降低被掃描與未授權連線的風險。

2. **導入身分驗證與權限控管機制**
管理介面需強制啟用登入驗證流程，包括複雜密碼規範、多因子驗證（如適用）及最小權限原則，避免以匿名或預設設定直接進入系統。

3. **強化設備端組態安全與版本管理**
針對已公開的管理系統，應進行固件與系統版本盤點，確認是否存在既知弱點，並執行更新或套用安全修補以降低攻擊面。