PT-2022-11545 · Redcap · Redcap

Publicado 2022-04-13 · Atualizado 2022-04-21 · CVE-2021-42136

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do REDCap anteriores à 11.4.0

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada na funcionalidade Códigos de Dados Ausentes permite que invasores remotos executem código JavaScript no navegador do cliente, armazenando esse código como um valor de Código de Dados Ausentes. Isso pode então ser aproveitado para executar um ataque de Cross-Site Request Forgery (CSRF) para escalar privilégios até o nível de administrador.

Recomendações

Para versões anteriores à 11.4.0, atualize para a versão 11.4.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade Códigos de Dados Ausentes para minimizar o risco de exploração. Evite usar o valor do Código de Dados Ausentes para armazenar entradas de usuário não validadas até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-42136

Produtos afetados

Redcap

Referências · 9

• 🔥 https://exploit-db.com/exploits/50877 · Exploit
• 🔥 http://packetstormsecurity.com/files/166723/REDCap-Cross-Site-Scripting.html · Exploit
• https://t.me/cvenotify/29064 · Publicação no Telegram
• https://redcap.med.usc.edu/_shib/assets/ChangeLog_Standard.pdf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-42136 · Nota de Segurança
• https://t.me/cvenotify/29261 · Publicação no Telegram
• https://t.me/cibsecurity/40735 · Publicação no Telegram
• https://project-redcap.org · Nota
• https://osv.dev/vulnerability/CVE-2021-42136 · Aviso do Fabricante