CVE-2026-90817
KrytyczneCVSS 9.8Streszczenie
W REDCap 13.3.0 i nowszych wykryto podatność umożliwiającą nieuwierzytelnione zdalne wykonanie kodu. Atakujący może manipulować żądaniami HTTP, aby uzyskać dostęp do nieprzewidzianej trasy kontrolera z publicznego kontekstu ankiety oraz dostarczyć spreparowany parametr ścieżki/strumienia pliku podczas importu danych. Wykorzystanie wymaga znajomości prawidłowego hasha publicznej ankiety.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu na serwerze REDCap, co może prowadzić do pełnego przejęcia systemu i wycieku danych badawczych. Wymagana jest jedynie znajomość hasha publicznej ankiety, co jest realne w przypadku ankiet publicznych.
Rekomendacja
Należy niezwłocznie zaktualizować REDCap do wersji zawierającej poprawkę oraz ograniczyć dostęp do publicznych ankiet i monitorować nietypowe żądania do tras kontrolerów i importu danych.
Inne podatności w REDCap
Zobacz wszystkie- CVE-2024-55374Średnie
Podatność w REDCap 14.3.13 umożliwia atakującemu enumerację nazw użytkowników poprzez obserwowalną różnicę w odpowiedziach na próby logowania.
- CVE-2023-37798Średnie
W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
- CVE-2023-37361Niskie
REDCap w wersjach 12.0.26 LTS oraz 12.3.2 Standard umożliwia atak typu SQL Injection poprzez elementy takie jak harmonogram, repeatforms, purpose, app_title lub randomizacja.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated Remote Code Execution vulnerability was found in the survey passthrough routing and Data Import processing logic, in which a malicious user could potentially exploit it by manipulating HTTP requests to access an unintended controller route from a public survey context and by supplying a crafted file-path/stream parameter during import handling. If successfully exploited, this could allow the attacker to remotely execute arbitrary code on the REDCap server. The attacker does not have to be authenticated in order to exploit this, but exploitation requires knowledge of a valid public survey hash. This vulnerability exists in REDCap 13.3.0 and higher.