CVE-2026-90817 — REDCap Survey Passthru + Data Import RCE

Comprobador en Python 3 (y hook de exploit configurable) para CVE-2026-90817 (Securifera / Ryan Wincey).

Resumen

Desde un contexto de encuesta pública, los atacantes pueden abusar del enrutamiento __passthru (passthrough de encuesta) para alcanzar controladores no previstos (p. ej. Data Import), y luego desencadenar un manejo inseguro de rutas de archivo / flujo → RCE.

Securifera no ha publicado aún la cadena HTTP completa (no hay PoC público en GitHub / Exploit-DB en el momento de publicación del repositorio).

exploit_chain.example.json es solo un marcador de posición (rutas/parámetros supuestos). No producirá RCE.
Prueba en seco de investigación: --allow-placeholder-chain (envía solicitudes; se espera fallo).

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Single target (survey hash required for survey + passthru tests)
python poc.py -u https://redcap.example.edu/redcap --hash Ab12Xy34Zq --mode check

# Shorthand: base|hash
python poc.py -u "https://redcap.example.edu/redcap|Ab12Xy34Zq" --mode check

# Mass check (one URL per line, optional |hash)
python poc.py --list targets.example.txt --mode check -j 20 -q

# Live stream: every host + test summary (recommended for long lists)
python poc.py --list targets.example.txt --mode check -j 20 -q --flow

# Exploit (after advisory → real exploit_chain.json)
cp exploit_chain.example.json exploit_chain.json   # edit with real values
python poc.py -u https://redcap.example.edu/redcap --hash XXX --mode exploit -c id \
  --chain exploit_chain.json

Exportación de FOFA → lista de objetivos

# Place export as fofa_csv_7561.csv (or any fofa*.csv), then:
python fofa_to_list.py
# Writes list.txt (gitignored) and normalizes the CSV with a url column
python poc.py --list list.txt --mode check -j 20 -q --flow

Formato de la lista de objetivos

https://uni.edu/redcap|SurveyHash10
https://uni.edu/redcap?s=SurveyHash10
https://uni.edu/redcap

Sin un hash, check aún puede identificar REDCap y señalar ventanas de versión, pero no puede validar la encuesta ni ejecutar sondeos passthru.

Captura de pantalla (comprobación masiva con --flow)

Opciones de CLI

Salida (comprobación masiva)

Valores comunes de status (check)

Limitaciones

• Exploit requiere la ruta __passthru exacta y los nombres de parámetros de Securifera/vendor; los valores por defecto son marcadores de posición.
• Muchas instancias ocultan las cadenas de versión; vulnerable_version puede ser null.
• Las filas de FOFA title="REDCap" a menudo carecen de hashes de encuesta — las precondiciones del CVE necesitan s= de enlaces públicos.
• Solo pruebas autorizadas.

Pistas de FOFA / descubrimiento

title="REDCap"
body="redcap_version"
body="/surveys/?s="

Estructura del repositorio

.
├── poc.py
├── fofa_to_list.py
├── exploit_chain.example.json
├── poc.png                 # example --flow terminal output
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Referencias

• NVD — CVE-2026-90817
• CVE Record
• Securifera advisories

Legal

Solo para pruebas de seguridad autorizadas. Usted es responsable del cumplimiento de las leyes aplicables y las reglas del programa.