GAGILAI 自助保養系統敏感資訊外洩及權限繞過漏洞

Vulnerability Overview

ZDID: ZD-2026-00843
發信 Vendor: GAGILAI (金力盛車業)
Title: GAGILAI 自助保養系統敏感資訊外洩及權限繞過漏洞
Introduction: 原始碼暴露 Firebase Key、Webhook URL 和管理員驗證密碼，導致任何人可取得資料存取權及惡意操控自動化流程。

處理狀態

目前狀態

公開

Last Update : 2026/08/15

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/06/15 23:58:21 : 新提交 (由 Yu 更新此狀態)
2026/06/16 10:01:47 : 新提交 (由 Yu 更新此狀態)
2026/06/21 13:50:00 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/06 17:06:21 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/06 17:06:21 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/06 17:06:22 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/15 03:00:05 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00843
通報者：yuhao7025 (Yu)
風險：高
類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

漏洞種類：敏感資訊外洩、管理登入驗證邏輯瑕疵。
重現漏洞方式：

使用瀏覽器進入目標網址後，檢視網頁原始碼。
在 <script type="module"> ，可直接看到 Firebase apiKey、appId 及 projectId。
在同一區塊中，可以看到 window.makeWebhookUrl 的完整 URL。
向下搜尋 checkAdminPwd，就可以看見寫入原始碼的管理員 PIN 碼。

影響：

攻擊者可利用 Firebase API Key 嘗試連線並刪除、竄改所有客戶的預約資料。
惡意使用者可透過存取的 Webhook URL 發送惡意參數，干擾 LINE 自動化回應流程。
任何知曉該漏洞的使用者，均可輸入 **** 進入後台並刪除他人預約。

另該內容有同步在 https://github.com/lanchindon-commits/GAGILAIliff/blob/main/gagilai2%20index.html 中。

為保護資料安全，以上圖片皆已處理過，且未實際進入後台，僅依網站原始碼進行確認。

修補建議

1. 切勿將 API Key、Webhook URL 及密碼寫入前端程式碼。
2. 避免在前端使用寫死的 PIN 碼驗證，應用更安全的方式請求。
3. 將對 Make.com 的請求移至後端 Server 執行，透過 Server 驗證來隱藏 Webhook URL。
4. 由於程式碼已上傳至 GitHub，要記得重設 API Key 與 Webhook URL，否則攻擊者仍可透過歷史紀錄取得有效 API Key 和 URL。

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

GAGILAI 自助保養系統敏感資訊外洩及權限繞過漏洞 - HITCON ZeroDay

Vulnerability Detail Report