智生活科技股份有限公司 Web API - BOPLA (Broken Object Property Level Authorization)

Vulnerability Overview

ZDID: ZD-2026-00799
發信 Vendor: 智生活科技股份有限公司
Title: 智生活科技股份有限公司 Web API - BOPLA (Broken Object Property Level Authorization)
Introduction: API 資源洩漏大量內部員工姓名、信箱、chat_uid，可讓攻擊者進行大規模社交工程之攻擊。

處理狀態

目前狀態

公開

Last Update : 2026/07/25

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2026/06/02 20:57:05 : 新提交 (由阿文更新此狀態)
2026/06/04 23:06:51 : 新提交 (由阿文更新此狀態)
2026/06/04 23:09:41 : 新提交 (由阿文更新此狀態)
2026/06/10 12:45:31 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/02 12:30:05 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/02 12:30:05 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/18 02:41:31 : 已修補 (由組織帳號更新此狀態)
2026/07/25 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00799
通報者：littlebabywen (阿文)
風險：高
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

根據 ZD-2026-00798 ，詳細查看主機根目錄資源，可以發現是該單位所開之 Web API ，估計是拿來第三方串接或者是 mobile app 所通信之 api ，稍微列出以下 api 資源的回應。
而這支資源可以得知是該單位所擁有的主機，無授權請求，回應顯示共 231 筆內部員工姓名、信箱、chat_uid。(這樣會輕易讓攻擊者收集到該單位內部員工之資訊，以利進行大規模社交工程之攻擊)
- http://202.39.212.217:5678/kingnet_isp_close_loop/api/get_Kingnet_smartdaily_user_api.php