筆記報名報名網站跨站腳本漏洞

Vulnerability Overview

ZDID: ZD-2026-01149
發信 Vendor: 筆記報名
Title: 筆記報名報名網站跨站腳本漏洞
Introduction: 活動報名功能的「團體名稱」欄位未對輸入進行過濾或編碼，攻擊者可輸入惡意 JavaScript，該內容儲存後於頁面渲染時執行，構成 Stored XSS 漏洞。

處理狀態

目前狀態

公開

Last Update : 2026/09/25

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2026/09/08 15:19:26 : 新提交 (由 Dowhu 更新此狀態)
2026/09/11 11:50:46 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/14 19:11:15 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/14 19:11:16 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/17 15:26:43 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/09/25 03:00:36 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-01149
通報者：marrow (Dowhu)
風險：中
類型：預存式跨站腳本攻擊 (Stored Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份，或進行掛碼、轉址等攻擊行為。

漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則：
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式：
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

重現步驟

進入平台的活動報名頁面
於「隊伍名稱」欄位輸入以下 payload：<script>alert(1)</script>
完成報名送出表單
前往「報名查詢與修改」頁面，輸入領隊資料查詢報名紀錄
頁面載入時，隊伍名稱欄位渲染上述 payload，瀏覽器執行 JavaScript 並彈出 alert 視窗

填寫 payload 的報名畫面：

訂單查詢頁面觸發 XSS 的彈跳視窗：

影響

目前已確認影響：報名者本人可於自己的訂單查詢頁面觸發此漏洞。任何報名者皆可透過相同方式，在自己的隊伍名稱中植入惡意腳本。
潛在擴大影響：若後台管理介面、成績結算頁面或其他公開頁面有顯示隊伍名稱且同樣未做輸出編碼，則管理員或其他使用者瀏覽該頁面時也會觸發惡意腳本。屆時攻擊者可能利用此漏洞竊取其他使用者的 Cookie/Session、冒充使用者操作，或進行釣魚攻擊

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

筆記報名報名網站跨站腳本漏洞 - HITCON ZeroDay

Vulnerability Detail Report