屏東盃全國中小學田徑錦標賽報名系統任意檔案上傳導致RCE

Vulnerability Overview

ZDID: ZD-2026-00896
發信 Vendor: {屏東盃全國中小學田徑錦標賽}
Title: 屏東盃全國中小學田徑錦標賽報名系統任意檔案上傳導致RCE
Introduction: 未驗證檔案類型，可上傳 PHP webshell

處理狀態

目前狀態

公開

Last Update : 2026/09/03

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2026/07/02 16:52:50 : 新提交 (由 Bun_. 更新此狀態)
2026/07/07 13:42:49 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:35:09 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:35:09 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:35:09 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/31 17:34:41 : 複測申請中 (由組織帳號更新此狀態)
2026/09/02 10:46:07 : 未修補完成 (由 Bun_. 更新此狀態)
2026/09/03 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00896
通報者：Superliverbun (Bun_.)
風險：嚴重
類型：任意檔案上傳 (Arbitrary File Upload)

參考資料

攻擊者可上傳任意檔案至該主機，有機會經由上傳之文件取得該主機系統權限。

漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload

漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

114 年屏東盃全國中小學田徑錦標賽線上報名系統的檔案上傳功能（upload_entry_form.php、upload_payment_voucher.php）未對上傳檔案進行充分驗證，可透過雙副檔名繞過並上傳含惡意 PHP 程式碼的 webshell，被伺服器轉存為 .php 而執行，導致遠端程式碼執行；同時上傳目錄未禁止目錄瀏覽，使得任何人皆可瀏覽並下載其他報名者上傳的檔案。
一、任意檔案上傳導致 RCE
準備一個雙副檔名的 PHP webshell（如 shell.pdf.php），透過上傳功能繞過檔案類型驗證，被伺服器轉存為 .php 後置於公開可存取目錄。直接以 URL 觸發即可帶入 cmd 參數執行任意系統指令：

https://163.24.180.198/pt2025/entry_form/211_23_179_64_1782978772_EF0000.php?cmd=id;whoami

二、目錄瀏覽導致個資外洩
上傳目錄未禁止目錄瀏覽（Directory Listing），任何人皆可直接瀏覽並下載其他報名者上傳的所有報名表與繳費憑證：

https://163.24.180.198/pt2025/entry_form/
https://163.24.180.198/pt2025/voucher/

下載到的報名表含有大量個人敏感資料，包括單位名稱、聯絡人、電話、手機、通訊地址，以及職員（領隊、教練、管理）之姓名、性別、身分證字號、出生年月日等：

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

屏東盃全國中小學田徑錦標賽報名系統任意檔案上傳導致RCE - HITCON ZeroDay

Vulnerability Detail Report