CVE-2026-90817 — REDCap Survey Passthru + Data Import RCE

Vérificateur Python 3 (et hook d'exploit configurable) pour CVE-2026-90817 (Securifera / Ryan Wincey).

Résumé

Depuis un contexte de sondage public, les attaquants peuvent abuser du routage __passthru (passthrough de sondage) pour atteindre des contrôleurs non prévus (par ex. Data Import), puis déclencher une gestion non sécurisée des chemins de fichiers / flux → RCE.

Securifera n'a pas encore publié la chaîne HTTP complète (aucun PoC public sur GitHub / Exploit-DB au moment de la publication du dépôt).

exploit_chain.example.json est uniquement un placeholder (routes/paramètres devinés). Il ne provoquera pas de RCE.
Essai à blanc de recherche : --allow-placeholder-chain (envoie des requêtes ; échec attendu).

Prérequis

• Python 3.9+
• pip install -r requirements.txt

Utilisation

pip install -r requirements.txt

# Single target (survey hash required for survey + passthru tests)
python poc.py -u https://redcap.example.edu/redcap --hash Ab12Xy34Zq --mode check

# Shorthand: base|hash
python poc.py -u "https://redcap.example.edu/redcap|Ab12Xy34Zq" --mode check

# Mass check (one URL per line, optional |hash)
python poc.py --list targets.example.txt --mode check -j 20 -q

# Live stream: every host + test summary (recommended for long lists)
python poc.py --list targets.example.txt --mode check -j 20 -q --flow

# Exploit (after advisory → real exploit_chain.json)
cp exploit_chain.example.json exploit_chain.json   # edit with real values
python poc.py -u https://redcap.example.edu/redcap --hash XXX --mode exploit -c id \
  --chain exploit_chain.json

Export FOFA → liste de cibles

# Place export as fofa_csv_7561.csv (or any fofa*.csv), then:
python fofa_to_list.py
# Writes list.txt (gitignored) and normalizes the CSV with a url column
python poc.py --list list.txt --mode check -j 20 -q --flow

Format de la liste de cibles

https://uni.edu/redcap|SurveyHash10
https://uni.edu/redcap?s=SurveyHash10
https://uni.edu/redcap

Sans hash, le check peut toujours identifier REDCap et signaler les fenêtres de version, mais ne peut pas valider le sondage ni exécuter les sondes passthru.

Capture d'écran (mass check --flow)

Options CLI

Sortie (mass check)

Valeurs status courantes (check)

Limitations

• L'exploit nécessite la route __passthru exacte et les noms de paramètres de Securifera/vendor ; les valeurs par défaut sont des placeholders.
• De nombreuses instances masquent les chaînes de version ; vulnerable_version peut être null.
• Les lignes FOFA title="REDCap" manquent souvent de hash de sondage — les préconditions de la CVE nécessitent s= à partir de liens publics.
• Tests autorisés uniquement.

Indices FOFA / découverte

title="REDCap"
body="redcap_version"
body="/surveys/?s="

Arborescence du dépôt

.
├── poc.py
├── fofa_to_list.py
├── exploit_chain.example.json
├── poc.png                 # example --flow terminal output
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Références

• NVD — CVE-2026-90817
• CVE Record
• Securifera advisories

Légal

Pour des tests de sécurité autorisés uniquement. Vous êtes responsable du respect des lois applicables et des règles du programme.