呂守箴(OpenBlue) says to 網路攻防戰~資安閒聊群組標題：YouBike App 密碼更新回傳機制出包，用手機號碼就能竄改他人密碼 摘要： 臺灣資安漏洞通報平臺HITCON ZeroDay於5月27日揭露，公共自行車租用服務YouBike App要求修改密碼的回傳機制未加密，手機號碼與密碼的數值是明文呈現，而且任何人可以輸入手機號碼，來更改用戶的密碼，並取得該用戶在YouBike的資料。YouBike表示，他們已經在近日完成了修補，「目前沒有任何YouBike用戶受到影響。」 此外，任何人可以在未經用戶本人授權的情況，在URL網址修改密碼變數的數值，來更改用戶的密碼。任何人能利用這項驗證機制的疏失，直接修改不同手機號碼的密碼，同時取得用戶個資，包括真實姓名、電子信箱、悠遊卡卡號，以及騎乘紀錄，甚至如果是使用聯名卡綁定的用戶，可能造成用戶的金融資料外洩。 ZeroDay 某單位可任意修改其他使用者的密碼： https://zeroday.hitcon.org/vulnerability/ZD-2017-00300 引用來源： http://www.ithome.com.tw/news/114548at Thu, Jun 1, 2017 10:31 AM