uTagGo停車系統管理員 API 缺乏存取控制，導致全台車輛行蹤與隱私面臨外洩風險

Vulnerability Overview

ZDID: ZD-2026-00316
發信 Vendor: 遠創智慧股份有限公司
Title: uTagGo停車系統管理員 API 缺乏存取控制，導致全台車輛行蹤與隱私面臨外洩風險
Introduction: 停車系統管理員 API 缺乏存取控制，導致全台車輛行蹤與隱私面臨外洩風險

處理狀態

目前狀態

公開

Last Update : 2026/05/05

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/03/05 15:42:12 : 新提交 (由 4D-Wing 更新此狀態)
2026/03/06 23:40:11 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/13 17:04:50 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/13 17:04:50 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/03/13 17:04:50 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/05/05 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00316
通報者：loyenhsiang (4D-Wing)
風險：高
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

經測試發現，uTagGo 停車系統暴露於公開網路之管理員 API (/v1/admin/ordering) 存在嚴重的存取控制缺失。該接口負責查詢特定場站內車輛的進出場與扣款等詳細資訊，但系統並未對該端點實施任何身分驗證（Authentication）與授權（Authorization）檢查。
攻擊者無須取得任何 Token 或登入憑證，即可直接透過 API 傳入 channel (場站代碼) 與 plate (車牌號碼)，無限制地查詢任意車輛的停車紀錄與進出場照片。若遭有心人士利用自動化腳本遍歷，將導致全台百萬車主的行蹤軌跡與隱私資料遭大批量竊取。

發現系統暴露之 Swagger API 文件（如 https://pmptransaction.utaggo.com.tw/swagger/index.html）。
透過公開資訊收集或其他未受保護之接口（如 /v1/parking/space/all），取得有效之場站代碼（例如 DZ000001）。
發送未攜帶任何驗證標頭之 GET 請求至 /v1/admin/ordering，並帶入測試車牌 ABC-1234。

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

uTagGo停車系統管理員 API 缺乏存取控制，導致全台車輛行蹤與隱私面臨外洩風險 - HITCON ZeroDay

Vulnerability Detail Report