Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2026-00089
- 發信 Vendor: 三創生活股份有限公司
- Title: 三創生活股份有限公司 系統未授權存取登入日誌導致個資外洩
- Introduction: 系統的登入日誌導出功能缺乏存取控制，任何人可直接下載含有員工帳號及真實姓名的 CSV 檔案。
處理狀態
目前狀態
公開
Last Update : 2026/04/05
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2026/01/20 17:05:39 : 新提交 (由 肉 更新此狀態)
- 2026/01/20 17:07:12 : 新提交 (由 肉 更新此狀態)
- 2026/01/26 17:54:22 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/01/27 18:08:30 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/01/27 18:08:30 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/01/27 18:08:30 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/04/05 03:00:10 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2026-00089
- 通報者：kevin2758 (肉)
- 風險：高
- 類型：存取控制缺陷 (Broken Access Control)
參考資料
攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。
OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html
OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)
相關網址
https://af.syntrend.com.tw/WebAgenda/getLoginLog.do?d-16544-p=1&d-16544-o=2&6578706f7274=1&d-16544-e=1&d-16544-s=4
敘述
重現步驟
- Google Dorking:
- 無需登入，直接訪問上述網址
https://af.syntrend.com.tw/WebAgenda/getLoginLog.do?d-16544-p=1&d-16544-o=2&6578706f7274=1&d-16544-e=1&d-16544-s=4 - 自動下載「登入記錄.csv」
洩露內容
- 員工帳號（如 S2302003、T2401052）
- 員工真實姓名
- 登入時間
- 登入狀態（帳號密碼錯誤、帳號不存在等）
影響
- 員工個資外洩
- 可枚舉有效帳號進行暴力破解
修補建議
對該端點加入 Session 驗證及權限檢查
擷圖
留言討論
登入後留言
聯絡組織
發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。