財團法人慈濟大學 Whisper 語音辨識 API 未實施存取控制

Vulnerability Overview

ZDID: ZD-2026-00400
發信 Vendor: 財團法人慈濟大學
Title: 財團法人慈濟大學 Whisper 語音辨識 API 未實施存取控制
Introduction: Whisper ASR Webservice 無認證開放兩個端點，可呼叫進行免費語音辨識。

處理狀態

目前狀態

公開

Last Update : 2026/04/19

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2026/03/23 20:17:33 : 新提交 (由 DL56 更新此狀態)
2026/03/23 20:52:00 : 新提交 (由 DL56 更新此狀態)
2026/03/23 23:08:18 : 新提交 (由 DL56 更新此狀態)
2026/03/30 00:37:38 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/09 16:46:19 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/09 16:46:19 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/09 16:46:19 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/15 10:13:36 : 複測申請中 (由組織帳號更新此狀態)
2026/04/16 00:44:43 : 確認已修補 (由 DL56 更新此狀態)
2026/04/19 03:00:18 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00400
通報者：dinlon5566 (DL56)
風險：低
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

漏洞說明

Whisper ASR Webservice 1.4.1 未實施存取控制，無任何 API Key 或認證機制。

Whisper ASR Webservice 是基於 OpenAI Whisper 模型的語音辨識 REST API 服務，提供：

/asr：上傳音訊檔案（mp3/wav/m4a 等任意格式），回傳語音轉文字結果
/detect-language：偵測音訊語言

由於服務預設不含認證機制，任何人可直接透過 HTTP POST 上傳音訊檔案，使用教育部 GPU 資源進行免費語音辨識，並可能藉此測試各種音訊格式的解析行為。

重現步驟

步驟 1： 存取 Swagger UI，確認服務無任何認證提示：

http://203.64.81.157:9001/docs

步驟 2： 查詢 OpenAPI Schema，確認無任何 Security 定義：

http://203.64.81.157:9001/openapi.json

步驟 3： 直接呼叫 /asr 端點，無需任何 API Key

影響

無限制且未設定 rate limit，造成濫用可能

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

財團法人慈濟大學 Whisper 語音辨識 API 未實施存取控制 - HITCON ZeroDay

Vulnerability Detail Report