CVE-2026-90817 — REDCap Survey Passthru + Data Import RCE

Comprobador en Python 3 (y hook de exploit configurable) para CVE-2026-90817 (Securifera / Ryan Wincey).

Resumen

Desde un contexto de encuesta pública, los atacantes pueden abusar del enrutamiento __passthru (passthrough de encuesta) para alcanzar controladores no previstos (p. ej. Data Import), y luego desencadenar un manejo inseguro de rutas de archivo / flujo → RCE.

Securifera no ha publicado aún la cadena HTTP completa (no hay PoC público en GitHub / Exploit-DB en el momento de publicación del repositorio).

exploit_chain.example.json es solo un marcador de posición (rutas/parámetros supuestos). No ejecutará RCE.
Prueba en seco de investigación: --allow-placeholder-chain (envía solicitudes; se espera fallo).

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Objetivo único (se requiere hash de encuesta para las pruebas de encuesta + passthru)
python poc.py -u https://redcap.example.edu/redcap --hash Ab12Xy34Zq --mode check

# Abreviatura: base|hash
python poc.py -u "https://redcap.example.edu/redcap|Ab12Xy34Zq" --mode check

# Comprobación masiva (una URL por línea, |hash opcional)
python poc.py --list targets.example.txt --mode check -j 20 -q

# Flujo en vivo: cada host + resumen de pruebas (recomendado para listas largas)
python poc.py --list targets.example.txt --mode check -j 20 -q --flow

# Exploit (tras el aviso → exploit_chain.json real)
cp exploit_chain.example.json exploit_chain.json   # editar con valores reales
python poc.py -u https://redcap.example.edu/redcap --hash XXX --mode exploit -c id \
  --chain exploit_chain.json

Exportación de FOFA → lista de objetivos

# Coloca la exportación como fofa_csv_7561.csv (o cualquier fofa*.csv), luego:
python fofa_to_list.py
# Escribe list.txt (ignorado por git) y normaliza el CSV con una columna url
python poc.py --list list.txt --mode check -j 20 -q --flow

Formato de la lista de objetivos

https://uni.edu/redcap|SurveyHash10
https://uni.edu/redcap?s=SurveyHash10
https://uni.edu/redcap

Sin un hash, la comprobación aún puede identificar REDCap y marcar ventanas de versión, pero no puede validar la encuesta ni ejecutar sondeos passthru.

Captura de pantalla (comprobación masiva con --flow)

Opciones de CLI

Salida (comprobación masiva)

Valores comunes de status (check)

Limitaciones

• Exploit requiere la ruta __passthru exacta y los nombres de parámetros de Securifera/vendor; los valores por defecto son marcadores de posición.
• Muchas instancias ocultan las cadenas de versión; vulnerable_version puede ser null.
• Las filas de FOFA title="REDCap" a menudo carecen de hashes de encuesta — las precondiciones del CVE necesitan s= de enlaces públicos.
• Solo para pruebas autorizadas.

Pistas de FOFA / descubrimiento

title="REDCap"
body="redcap_version"
body="/surveys/?s="

Estructura del repositorio

.
├── poc.py
├── fofa_to_list.py
├── exploit_chain.example.json
├── poc.png                 # ejemplo de salida de terminal --flow
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Referencias

• NVD — CVE-2026-90817
• CVE Record
• Securifera advisories

Legal

Solo para pruebas de seguridad autorizadas. Usted es responsable del cumplimiento de las leyes aplicables y las reglas del programa.