CVE-2026-90817 — REDCap Survey Passthru + Data Import RCE

Python-3-Checker (und konfigurierbarer Exploit-Hook) für CVE-2026-90817 (Securifera / Ryan Wincey).

Zusammenfassung

Aus dem Kontext einer öffentlichen Umfrage können Angreifer das Routing über __passthru (Survey-Passthrough) missbrauchen, um unerwünschte Controller zu erreichen (z. B. Data Import), und dann unsichere Dateipfad-/Stream-Verarbeitung auslösen → RCE.

Securifera hat die vollständige HTTP-Kette noch nicht veröffentlicht (kein öffentlicher PoC auf GitHub / Exploit-DB zum Zeitpunkt der Repo-Veröffentlichung).

exploit_chain.example.json ist nur ein Platzhalter (geratene Routen/Parameter). Es wird kein RCE auslösen.
Forschungs-Trockenlauf: --allow-placeholder-chain (sendet Anfragen; Fehler zu erwarten).

Anforderungen

• Python 3.9+
• pip install -r requirements.txt

Verwendung

pip install -r requirements.txt

# Single target (survey hash required for survey + passthru tests)
python poc.py -u https://redcap.example.edu/redcap --hash Ab12Xy34Zq --mode check

# Shorthand: base|hash
python poc.py -u "https://redcap.example.edu/redcap|Ab12Xy34Zq" --mode check

# Mass check (one URL per line, optional |hash)
python poc.py --list targets.example.txt --mode check -j 20 -q

# Live stream: every host + test summary (recommended for long lists)
python poc.py --list targets.example.txt --mode check -j 20 -q --flow

# Exploit (after advisory → real exploit_chain.json)
cp exploit_chain.example.json exploit_chain.json   # edit with real values
python poc.py -u https://redcap.example.edu/redcap --hash XXX --mode exploit -c id \
  --chain exploit_chain.json

FOFA-Export → Zielliste

# Place export as fofa_csv_7561.csv (or any fofa*.csv), then:
python fofa_to_list.py
# Writes list.txt (gitignored) and normalizes the CSV with a url column
python poc.py --list list.txt --mode check -j 20 -q --flow

Format der Zielliste

https://uni.edu/redcap|SurveyHash10
https://uni.edu/redcap?s=SurveyHash10
https://uni.edu/redcap

Ohne Hash kann die Prüfung REDCap weiterhin fingerprinten und Versionsfenster markieren, aber die Umfrage nicht validieren oder Passthru-Probes ausführen.

Screenshot (--flow Massenprüfung)

CLI-Optionen

Ausgabe (Massenprüfung)

Häufige status-Werte (Check)

Einschränkungen

• Exploit erfordert die exakte __passthru-Route und Parameternamen von Securifera/Hersteller; Standardwerte sind Platzhalter.
• Viele Instanzen verbergen Versionsstrings; vulnerable_version kann null sein.
• FOFA-Zeilen mit title="REDCap" enthalten oft keine Survey-Hashes — CVE-Voraussetzungen benötigen s= aus öffentlichen Links.
• Nur autorisiertes Testen.

FOFA- / Discovery-Hinweise

title="REDCap"
body="redcap_version"
body="/surveys/?s="

Repository-Struktur

.
├── poc.py
├── fofa_to_list.py
├── exploit_chain.example.json
├── poc.png                 # example --flow terminal output
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Referenzen

• NVD — CVE-2026-90817
• CVE Record
• Securifera advisories

Rechtliches

Nur für autorisiertes Sicherheitstesten. Sie sind für die Einhaltung der geltenden Gesetze und Programmregeln verantwortlich.