CVE-2024-55374
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w REDCap 14.3.13 umożliwia atakującemu enumerację nazw użytkowników poprzez obserwowalną różnicę w odpowiedziach na próby logowania.
Ocena ryzyka
Atakujący może zebrać listę prawidłowych nazw użytkowników, co ułatwia przeprowadzenie ataków siłowych lub socjotechnicznych na system.
Rekomendacja
Zaleca się aktualizację REDCap do najnowszej wersji oraz wdrożenie jednolitych komunikatów błędów logowania, aby uniemożliwić rozróżnienie między istniejącymi a nieistniejącymi użytkownikami.
Inne podatności w REDCap
Zobacz wszystkie- CVE-2023-37798Średnie
W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
- CVE-2023-37361Niskie
REDCap w wersjach 12.0.26 LTS oraz 12.3.2 Standard umożliwia atak typu SQL Injection poprzez elementy takie jak harmonogram, repeatforms, purpose, app_title lub randomizacja.
Oryginalny opis (angielski, źródło NVD)
REDCap 14.3.13 allows an attacker to enumerate usernames due to an observable discrepancy between login attempts.