「矽格股份有限公司存在IDOR，未授權存取訪客資料與代操作離開登記」

Vulnerability Overview

ZDID: ZD-2026-00824
發信 Vendor: 矽格股份有限公司
Title: 「矽格股份有限公司存在IDOR，未授權存取訪客資料與代操作離開登記」
Introduction: 未授權存取訪客資料與代操作離開登記，隨機輸入證號可以看到訪客姓名雖不能看到電話等其他個資，但可以幫這位訪客登記離開

處理狀態

目前狀態

公開

Last Update : 2026/08/09

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/06/09 11:08:59 : 新提交 (由 big_pie 更新此狀態)
2026/06/16 22:31:39 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/02 12:38:59 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/02 12:38:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/02 12:38:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/09 03:00:08 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00824
通報者：isl1322 (big_pie)
風險：高
類型：不安全的直接存取物件 (Insecure Direct Object References, IDOR)

參考資料

攻擊者可經由該漏洞取得系統中的其他使用者的資料或是系統檔案。

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

隨機輸入證號可以看到訪客姓名及貴司員工姓名、暱稱及單位

雖不能看到電話等其他個資

但可以幫這位訪客登記離開

修補建議

建議系統於查詢訪客資料及執行離開登記前，應於後端驗證操作者身分與授權範圍，避免使用者僅透過輸入可預測之訪客證號，即可查詢他人訪客資訊或代為執行離開登記。訪客證號應避免採用連號或可猜測格式，建議改用不可預測之隨機識別碼或一次性 Token。同時，應針對查詢功能加入頻率限制與異常行為偵測，避免攻擊者透過枚舉方式大量查詢訪客資料。另建議針對離開登記等異動操作加入權限檢查、二次確認及完整稽核紀錄，以確保訪客進出紀錄之正確性與可追蹤性。

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

「矽格股份有限公司存在IDOR，未授權存取訪客資料與代操作離開登記」 - HITCON ZeroDay

Vulnerability Detail Report