CVE-2026-90817
В логике маршрутизации сквозной передачи опросов и обработки импорта данных обнаружена уязвимость удалённого выполнения кода без аутентификации, при которой...
- Опубликовано
- 20 сент. 2026 г.
- Обновлено
- 21 сент. 2026 г.
- Назначение CNA
- Securifera
- Наблюдены доказательства
- 21 сент. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 58,2 %
- Дата модели
- 17 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
В логике маршрутизации сквозной передачи опросов и обработки импорта данных обнаружена уязвимость удалённого выполнения кода без аутентификации, при которой злоумышленник может потенциально эксплуатировать её путём манипулирования HTTP-запросами для доступа к непредусмотренному маршруту контроллера из контекста публичного опроса и путём передачи специально сформированного параметра пути к файлу/потоку при обработке импорта. В случае успешной эксплуатации это может позволить атакующему удалённо выполнить произвольный код на сервере REDCap. Атакующему не требуется проходить аутентификацию для эксплуатации, но для этого необходимо знать действительный хеш публичного опроса. Данная уязвимость присутствует в REDCap 13.3.0 и выше.
Источники
Python PoC для CVE-2026-90817 — неаутентифицированного RCE в REDCap через маршрутизацию сквозной передачи опросов и инъекцию пути к файлу, с лабораторией Docker и целями, защищёнными списком разрешённых.
Python-чекер и настраиваемый эксплойт-хук для CVE-2026-90817, фингерпринтинг экземпляров REDCap, валидация хешей опросов и проверка путей RCE через __passthru Data Import.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.