DavaIndia 的開放式管理員 API 讓陌生人取得其藥局的超級管理員控制權

DavaIndia Pharmacy 是總部位於古吉拉特邦的 Zota Healthcare 的零售部門，正積極擴張——在全印度擁有超過 2,300 家門市，1 月宣布新開 276 家據點，並計劃在兩年內再開 1,200 至 1,500 家。安全研究員 Eaton Zveare 發現，其網站運行著不安全的「超級管理員」應用程式介面（API）。

此漏洞讓未經身分驗證的使用者得以建立擁有高權限的超級管理員帳號。藉此，攻擊者可以檢視數千筆包含客戶資訊的線上訂單、修改產品列表與價格、建立折扣優惠券、變更哪些藥品需要處方箋，以及編輯網站內容——足以進行網站竄改或干擾。

Zveare 於 2025 年 8 月向印度網路緊急應變機構 CERT-In 通報此問題。該漏洞在數週內修復，不過公司直到 11 月下旬才向主管機關確認。TechCrunch 寄給 Zota 執行長 Sujit Paul 的電子郵件未獲回覆；沒有跡象顯示該漏洞在修補前曾遭利用。

近 17,000 筆線上訂單——姓名、電話、電子郵件、地址、支付金額與購買產品——遭到暴露，另有涵蓋 883 家門市的管理控制權，時間約達一年。

門市快速擴張超越了安全審查——這些有漏洞的介面隨平台一同上線，並自 2024 年底以來持續運作。

藥局購買紀錄本質上即屬敏感：即使未被濫用，訂單資料也可能揭露健康狀況與令人尷尬的購買行為。

未經身分驗證即可建立管理員的端點，是只需一次修補就能解決的漏洞類型，實在不應在正式環境中存續一年。

管理介面就是攻擊面：藥局的訂單資料就是健康資料，而未經身分驗證的建立管理員端點，就像一間沒上鎖的藥房。

該漏洞在 2025 年 8 月向 CERT-In 通報後數週內修復，並於 2025 年 11 月下旬向網路主管機關提供確認；研究員在修復後才公開揭露。