CVE-2023-37798
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont użytkowników lub kradzieży wrażliwych danych badawczych przechowywanych w REDCap. Atak może być wykorzystany do rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować system REDCap do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo warto wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla parametru tytułu projektu.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the new REDCap project creation function of Vanderbilt REDCap 13.1.35 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the project title parameter.