Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2026-00883
- 發信 Vendor: 台灣電腦網路危機處理暨協調中心(TWCERT/CC)
- Title: 臺中盃全國中小學田徑賽報名系統 SQL Injection、任意檔案上傳導致RCE
- Introduction: 未驗證檔案類型，可上傳 PHP webshell
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
已修補
-
未複測
-
公開
處理歷程
- 2026/07/01 18:09:52 : 新提交 (由 Bun_. 更新此狀態)
- 2026/07/07 13:36:37 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/23 16:04:40 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/23 16:04:40 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/23 16:04:40 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/08/31 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)
- 2026/09/04 16:34:33 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/09/12 03:00:08 : 公開 (由 HITCON ZeroDay 平台自動更新)
- 2026/09/17 14:45:57 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/09/21 14:29:04 : 未修補完成 (由 Bun_. 更新此狀態)
- 2026/09/22 03:00:07 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2026-00883
- 通報者：Superliverbun (Bun_.)
- 風險：嚴重
- 類型：任意檔案上傳 (Arbitrary File Upload)
參考資料
漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload
漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html
相關網址
https://w2.athletics.org.tw/tccity2026/upload_entry_form.php
https://w2.athletics.org.tw/tccity2026/upload_payment_voucher.php
https://w2.athletics.org.tw/tccity2026/voucher/
https://w2.athletics.org.tw/tccity2026/entry_form/
敘述
臺中盃全國中小學田徑賽線上報名系統同時存在多項嚴重漏洞，包含成績查詢功能的 SQL Injection、檔案上傳功能未驗證類型導致的遠端程式碼執行，以及上傳目錄可任意瀏覽造成的個資外洩。
一、SQL Injection（score_query_adv.php）
成績查詢功能的 POST 參數 sel_date 未經過濾即帶入 SQL 查詢，存在注入漏洞，可驗證三種注入皆成立：
Boolean-based blind
Stacked queries（可堆疊執行多句 SQL）
Time-based blind（MySQL SLEEP）
後端 DBMS：MySQL（MariaDB fork）／Linux CentOS 7／Apache 2.4.6／PHP 5.4.16
sqlmap -r req100.txt -p sel_date --batch --random-agent檔案上傳功能（upload_entry_form.php、upload_payment_voucher.php）未對上傳檔案進行充分驗證，可透過雙副檔名（如 shell.pdf.php）繞過並上傳含惡意 PHP 程式碼的 webshell，被伺服器轉存為 .php 後置於公開可存取目錄。直接以 URL 觸發即可執行任意系統指令
上傳目錄未禁止目錄瀏覽，任何人皆可直接瀏覽並下載其他報名者上傳的所有檔案，包含繳費憑證及含個資的報名文件
RCE： 攻擊者可上傳 webshell 並以 apache 權限執行任意系統指令，控制整台伺服器。由 /etc/passwd 可見主機掛載多個賽事網站（relay109、relay110、relay111 等）及 MariaDB、Zabbix 等服務，可橫向存取其他系統。
SQL Injection： 可任意讀取資料庫中大量參賽者（含中小學學生）個人資料。
個資外洩： 上傳目錄可任意瀏覽，導致報名者繳費憑證、報名表等機敏檔案遭任意下載，外洩姓名、銀行帳號、聯絡方式等個人與財務資訊。