康睎能源管理系统存在任意檔案讀取漏洞

Vulnerability Overview

ZDID: ZD-2026-00702
發信 Vendor: {康睎能源股份有限公司}
Title: 康睎能源管理系统存在任意檔案讀取漏洞
Introduction: 此漏洞不此漏洞不需登入即可利用，且已成功讀取伺服器 SSL/TLS 私鑰與專案設定檔

處理狀態

目前狀態

公開

Last Update : 2026/07/17

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/05/17 10:53:13 : 新提交 (由 #! 更新此狀態)
2026/05/17 10:55:58 : 新提交 (由 #! 更新此狀態)
2026/05/17 10:58:45 : 新提交 (由 #! 更新此狀態)
2026/05/20 13:36:14 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/05/27 19:09:11 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/05/27 19:09:11 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/05/27 19:09:11 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/17 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00702
通報者：summer83583 (#!)
風險：嚴重
類型：本地檔案引入 (Local File Inclusion, LFI)

參考資料

攻擊者可經由該漏洞取得後端系統檔案及網站程式原始碼等敏感資料。

漏洞說明： OWASP - Testing for Local File Inclusion
https://www.owasp.org/index.php/Testing_for_Local_File_Inclusion

Wikepedia 漏洞說明：
https://en.wikipedia.org/wiki/File_inclusion_vulnerability

OWASP Top 10 2007 - Malicious File Execution
https://www.owasp.org/index.php/Top_10_2007-Malicious_File_Execution

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

於公開網際網路發現「康睎能源管理系统」疑似將 Vite Dev Server 或其 WebSocket 開發介面暴露於正式環境。攻擊者可未經登入透過 WebSocket 傳送 vite:invoke / fetchModule 請求，搭配 file:// 與 ?raw 讀取伺服器本機檔案。此行為符合 CVE-2026-39363：Vite Dev Server WebSocket 任意檔案讀取漏洞。

測試中已成功讀取 SSL/TLS 私鑰檔案、vite.config.js 與 package-lock.json。package-lock.json 中可見 Vite 版本為 6.3.5，落於 CVE-2026-39363 影響範圍 Vite 6.0.0 至小於 6.4.2。此問題會導致憑證私鑰外洩、專案設定外洩、內部服務資訊外洩與套件版本資訊外洩。若攻擊者進一步讀取 .env、API Token、資料庫設定檔或 SSH Key，可能造成系統入侵、資料外洩或橫向移動。

掃描結果顯示目標 IP 220.133.87.47 對外開放 8443/tcp 與 10443/tcp，其中 8443/tcp 的 HTTP title 為「康睎能源管理系统」，TLS 憑證 CN 為 ems-test.kangsi-energy.com。

瀏覽器開啟 https://220.133.87.47:8443/login?redirect=/index，可看到「康睎能源管理系统 / Energy Management & Monitoring Platform」登入頁面，確認該管理系統入口可由公開網際網路存取。

透過 WebSocket 傳送 vite:invoke / fetchModule 請求，讀取 file:///C:/ssl/ems-test.kangsi-energy.com-key.pem?raw。伺服器回應中包含 RSA PRIVATE KEY，證明可未授權讀取伺服器本機 SSL/TLS 私鑰檔案。此行為符合 CVE-2026-39363 的攻擊特徵。

透過相同方式讀取 file:///D:/source-code/Kangsi-vue-master/kangsi-ui/vite.config.js?raw，伺服器回應中包含 Vite 設定檔、proxy/backend 設定與專案部署資訊，證明可讀取專案設定與原始碼相關內容。

透過 fetchModule 讀取 package-lock.json，回應中可見專案使用的套件與版本資訊，例如 vite、vue、element-plus、axios、bootstrap、jquery 等；其中 Vite 版本為 6.3.5，落於 CVE-2026-39363 影響範圍。

修補建議

建議立即關閉公開暴露的 Vite Dev Server，正式環境改以 npm run build 後的靜態檔案部署，封鎖 Vite WebSocket 與開發用途介面，限制 8443/tcp 存取來源，升級 Vite 至 6.4.2 以上版本，並因 SSL/TLS 私鑰已外洩，立即撤銷並重新簽發憑證。同時應檢查 .env、API Token、資料庫設定檔、SSH Key 等是否亦可被讀取，並輪替所有可能受影響的憑證與金鑰。