PT-2021-11264 · Redcap · Redcap

Publicado 2021-01-12 · Atualizado 2021-07-01 · CVE-2020-26712

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

REDCap versão 10.3.4

Descrição:

O problema diz respeito a uma vulnerabilidade de injeção de SQL na função ToDoList por meio do parâmetro sort. Essa vulnerabilidade surge porque o aplicativo incorpora informações enviadas pelo usuário em consultas ao banco de dados sem a devida validação, permitindo que um invasor explore e potencialmente comprometa todos os bancos de dados.

Recomendações:

Para a versão 10.3.4 do REDCap, como solução temporária, considere restringir o acesso à função ToDoList ou validar e sanitizar o parâmetro sort para evitar ataques de injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-26712

Produtos afetados

Redcap

Referências · 6

• 🔥 https://github.com/vuongdq54/RedCap · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-26712 · Nota de Segurança
• https://t.me/cvenotify/8598 · Publicação no Telegram
• https://project-redcap.org · Aviso do Fabricante
• https://evms.edu/research/resources_services/redcap/redcap_change_log · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-26712 · Aviso do Fabricante