CVE-2023-37798
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont użytkowników lub kradzieży wrażliwych danych badawczych przechowywanych w REDCap. Atak może być wykorzystany do rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować system REDCap do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo warto wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla parametru tytułu projektu.
Inne podatności w REDCap
Zobacz wszystkie- CVE-2026-90817Krytyczne
W REDCap 13.3.0 i nowszych wykryto podatność umożliwiającą nieuwierzytelnione zdalne wykonanie kodu. Atakujący może manipulować żądaniami HTTP, aby uzyskać dostęp do nieprzewidzianej trasy kontrolera z publicznego kontekstu ankiety oraz dostarczyć spreparowany parametr ścieżki/strumienia pliku podczas importu danych. Wykorzystanie wymaga znajomości prawidłowego hasha publicznej ankiety.
- CVE-2024-55374Średnie
Podatność w REDCap 14.3.13 umożliwia atakującemu enumerację nazw użytkowników poprzez obserwowalną różnicę w odpowiedziach na próby logowania.
- CVE-2023-37361Niskie
REDCap w wersjach 12.0.26 LTS oraz 12.3.2 Standard umożliwia atak typu SQL Injection poprzez elementy takie jak harmonogram, repeatforms, purpose, app_title lub randomizacja.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the new REDCap project creation function of Vanderbilt REDCap 13.1.35 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the project title parameter.