翔評互動 API 未經認證可存取所有商業折扣碼（含客戶名稱、員工姓名、定價策略） - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2026-00331
  •  發信 Vendor: 翔評互動股份有限公司
  • Title: 翔評互動 API 未經認證可存取所有商業折扣碼（含客戶名稱、員工姓名、定價策略）
  • Introduction: API 完全未設定認證即可存取所有折扣碼詳情，洩漏完整的業務團隊結構、客戶診所名稱、員工個人折扣碼、定價策略等高度敏感的商業機密。

處理狀態

目前狀態

公開
Last Update : 2026/05/26
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2026/03/14 08:01:39 : 新提交 (由 Marco 更新此狀態)
  • 2026/03/18 15:08:54 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/03/26 16:45:25 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/03/26 16:45:25 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/05/11 17:14:29 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2026/05/11 17:49:57 : 新提交 (由 Marco 更新此狀態)
  • 2026/05/11 18:20:17 : 新提交 (由 Marco 更新此狀態)
  • 2026/05/12 10:40:34 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2026/05/25 17:07:01 : 確認已修補 (由 Marco 更新此狀態)
  • 2026/05/26 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2026-00331
  • 通報者：mlgzackfly (Marco)
  • 風險：嚴重
  • 類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://contract.alleypinapis.com/coupons
https://dashboard.alleypin.cc/static/js/main.ca335111.js.map
https://payment.alleypin.cc/static/js/main.a4178c38.js.map

敘述

漏洞說明

AlleyPin 正式環境存在多個嚴重的安全問題：

  1. Contract API（contract.alleypinapis.com）多個端點完全不需認證，可直接列舉並讀取所有折扣碼（含員工姓名、客戶名稱、定價策略）
  2. Dashboard 與 Payment 前端的 .js.map Source Map 對外公開，洩漏完整原始碼及所有編譯進前端的環境變數（含 API Key、Token、內部 IP）

重現步驟

A. 正式環境 Contract API — 未認證列舉折扣碼

圖片

B. 取得折扣碼詳情（含員工姓名與客戶名稱）

圖片

圖片

洩漏的敏感商業資料

員工姓名與業務團隊結構

折扣碼以員工姓名命名，每位業務人員擁有 60%~90% 折扣授權等級

折扣碼類型 可觀察資訊
多組業務折扣碼 可推導不同業務人員具不同折扣授權等級
業務折扣分級 折扣權限範圍約介於 50%~90%
特定方案折扣 可推導內部方案授權與價格策略

（可推導多名業務人員之折扣授權層級與內部權限結構）

客戶診所名稱洩漏

折扣碼類型 洩漏資訊
特定診所專屬優惠 可識別特定醫療客戶存在專屬價格方案
藥局合作折扣 可推導 B2B 合作客戶類型
特定醫療機構優惠 可推導客戶導入狀態與合作情境
特定產業優惠方案 可識別垂直市場定價策略

定價策略完全曝露

折扣類型 洩漏內容
全額折扣方案 可辨識測試／Demo 用 pricing model
高額企業方案折扣 可推導 enterprise pricing ceiling
渠道合作折扣 可推導渠道價格策略
長期優惠方案 可推導固定折扣政策
業務授權折扣 可推導內部折扣權限分級
展會活動折扣 可推導活動期間價格策略

影響

  1. 商業機密曝露：競爭對手可分析折扣結構、價格區間與銷售策略
  2. 內部授權資訊洩漏：可推導業務折扣權限分級與組織授權模型
  3. 客戶合作資訊洩漏：可識別部分客戶類型與合作情境，存在商業保密風險

修補建議

1. 為 contract.alleypinapis.com 所有端點加入認證（影響正式環境），包含 /coupons
2. 審核所有折扣碼的使用情況，確認無遭濫用

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;