REDCap < 14.9.6 多个漏洞

high Web App Scanning 插件 ID 115433

语言：

简介

描述

根据其自我报告的版本号，远程主机上运行的 REDCap 版本低于 14.9.6。因此，该服务器受到多个漏洞的影响：

- 项目仪表板名称中的 HTML 注入问题，允许攻击者通过构建的链接触发注销请求，从而终止单击仪表板名称的任何用户的会话，或将他们重定向到钓鱼网站。（CVE-2024-56310）

- 日历事件的“备注”部分中存在 HTML 注入问题，允许攻击者触发注销请求或将用户重定向至钓鱼网站。（CVE-2024-56311）

- 项目仪表板名称中存在存储型跨站脚本（XSS）问题，允许经认证的用户注入其他用户打开仪表板时执行的任意脚本。（CVE-2024-56312）

- 项目仪表板名称中存在存储型跨站脚本（XSS）问题，允许经认证的用户注入其他用户打开仪表板时执行的任意脚本。（CVE-2024-56313）

- 项目名称中存在存储型跨站脚本（XSS）问题，允许经认证的用户注入其他用户访问项目时执行的任意脚本。（CVE-2024-56314）

- 项目名称中存在存储型跨站脚本（XSS）问题，允许经认证的用户注入其他用户访问项目时执行的任意脚本。（CVE-2024-56376）

- 调查标题和调查说明字段中存在存储型跨站脚本（XSS）问题，允许经认证的用户在受访者打开调查时注入任意脚本。（CVE-2024-56377）

- 电子邮件主题字段中存在反射型跨站脚本（XSS）问题，可通过上传包含警报配置列表的 CSV 文件来访问。（CVE-2025-23110）

- 通过调查字段名称引发的 HTML 注入问题，允许攻击者将调查受访者重定向至钓鱼网站。（CVE-2025-23111）

- 调查字段名称中存在存储型跨站脚本（XSS）问题，允许经认证的用户在受访者打开调查时注入任意脚本。（CVE-2025-23112）

- 通过 alert-title 字段发生的 HTML 注入问题，可通过上传包含警报配置列表的 CSV 文件到达该问题，从而导致受害者通过跨站请求伪造（CSRF）注销。（CVE-2025-23113）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。