國雲科技股份有限公司「泊車趣」停車系統 API 通用型漏洞，導致多縣市車主個資面臨大批量外洩風險

Vulnerability Overview

ZDID: ZD-2026-00299
發信 Vendor: 國雲科技股份有限公司 (系統開發商：博訊科技股份有限公司)
Title: 國雲科技股份有限公司「泊車趣」停車系統 API 通用型漏洞，導致多縣市車主個資面臨大批量外洩風險
Introduction: 便民停車查詢 API 未實作圖形驗證碼，攻擊者可透過自動化腳本輕易枚舉車牌，大批量爬取民眾停車時間、地點及是否被舉發等敏感隱私資料。

處理狀態

目前狀態

公開

Last Update : 2026/04/27

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/02/25 22:06:37 : 新提交 (由 4D-Wing 更新此狀態)
2026/02/25 22:22:50 : 新提交 (由 4D-Wing 更新此狀態)
2026/02/25 22:40:49 : 新提交 (由 4D-Wing 更新此狀態)
2026/02/25 22:43:54 : 新提交 (由 4D-Wing 更新此狀態)
2026/03/02 11:05:25 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/02 17:11:36 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/02 17:11:36 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/02 17:11:36 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/27 03:00:07 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00299
通報者：loyenhsiang (4D-Wing)
風險：高
類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

用Google Hacking發現該網站，經測試發現該網站存在嚴重的業務邏輯與隱私防護缺失。其對外開放的便民停車費查詢 API 雖然是為公眾設計，但完全缺乏「防自動化機制（如 CAPTCHA）」與「速率限制（Rate Limiting）」。此缺陷導致攻擊者可輕易撰寫腳本，針對台灣常見車牌格式（如 AAA-0001 至 ZZZ-9999）進行無限制的暴力枚舉（Enumeration），進而大批量爬取、建立民眾的車輛行蹤與欠費資料庫，嚴重威脅民眾隱私。

Swagger API 文件不當暴露：
系統將正式環境的 Swagger UI 暴露於公開網路 (/TrafficPayBill/swagger/index.html)，使攻擊者能完整掌握 API 路徑、參數定義（CarID、CarType）以及回傳的 Schema 結構（包含 TotalAmount、ParkingDate、IsProsecuted 等敏感欄位）。
缺乏防自動化與存取控制缺失：
核心查詢接口 GET /TrafficPayBill/Parking/PayBill/CarID/{carid}/CarType/{cartype} 處於無保護狀態：
- 無須登入驗證（Token）。
- 無須圖形驗證碼（Captcha）校驗。
- 無 IP 請求頻率限制（Rate Limit）。
邏輯驗證成功：
使用終端機發送測試車牌 ABC-1234 搭配車種代碼 C (汽車) 或 M (機車)，伺服器直接回傳 HTTP 200 OK 及 {"Status": "SUCCESS", "Message": "查詢成功", "Result": null}。這證實了 API 會無條件信任並處理來自外部的自動化請求。