某單位 High Pass+ 登入頁會員驗證登入 內嵌固定長效憑證 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2026-01131
  • Title: 某單位 High Pass+ 登入頁會員驗證登入 內嵌固定長效憑證
  • Introduction: kshp.com.tw 公開登入頁寫死的sso路徑有固定長效Bearer憑證, 任何人點"會員驗證登入"就可以無需帳密, 簡訊驗證, 直接以康軒內部人員身分進入正式 High Pass+ 教師環境, 可新增編輯 派送考卷等等

處理狀態

目前狀態

修補中
Last Update : 2026/09/14
  • 新提交
  • 已審核
  • 已通報
  • 修補階段
  • 未複測
  • 公開

處理歷程

  • 2026/09/04 20:21:48 : 新提交 (由 Dennis911 更新此狀態)
  • 2026/09/08 16:04:25 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/14 18:57:17 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/14 18:57:17 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/14 18:57:18 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)

詳細資料

  • ZDID：ZD-2026-01131
  • 通報者：Dennis911 (Dennis911)
  • 風險：高
  • 類型：權限提升 (Privilege Escalation)

留言討論

;