REDCap < 14.9.6 多個弱點

high Web App Scanning Plugin ID 115433

語言:

概要

說明

根據其自我報告的版本號碼，遠端主機上執行的 REDCap 版本早於 14.9.6。因此，該應用程式受到多個弱點影響：

- 專案儀表板名稱存在 HTML 插入問題，攻擊者可透過特製連結觸發登出要求，導致點按該儀表板名稱的使用者工作階段遭終止，或將其重新導向至網路釣魚網站。(CVE-2024-56310)

- 行事曆事件的「備註」區段存在 HTML 插入問題，攻擊者可藉此觸發登出要求或將使用者重新導向至網路釣魚網站。(CVE-2024-56311)

- 專案儀表板名稱中存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在其他使用者開啟該儀表板時執行。(CVE-2024-56312)

- 行事曆事件的「備註」區段存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在檢視該事件時執行。(CVE-2024-56313)

- 專案名稱存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在其他使用者存取該專案時執行。(CVE-2024-56314)

- 內建通訊軟體的訊息欄位存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在收件者開啟訊息時執行。(CVE-2024-56376)

-「問卷標題」與「問卷說明」欄位存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在受訪者開啟問卷時執行。(CVE-2024-56377)

- 電子郵件主旨欄位存在反射型跨網站指令碼 (XSS) 問題，可透過上傳包含警示設定清單的 CSV 檔案觸發。(CVE-2025-23110)

- 問卷欄位名稱存在 HTML 插入問題，攻擊者可藉此將問卷受訪者重新導向至網路釣魚網站。(CVE-2025-23111)

- 問卷欄位名稱存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在受訪者開啟問卷時執行。(CVE-2025-23112)

- alert-title 欄位存在 HTML 插入問題，可透過上傳包含警示設定清單的 CSV 檔案觸發，進而導致受害者因跨網站要求偽造 (CSRF) 而遭強制登出。(CVE-2025-23113)

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。