CVE-2026-90817 Ejecución remota de código en REDCap

Qué es CVE-2026-90817

Vulnerabilidad de ejecución remota de código en el enrutamiento de survey passthrough y en la lógica de procesamiento de Data Import de REDCap: un atacante no autenticado podría manipular peticiones HTTP para acceder a una ruta de controlador no prevista desde un contexto de encuesta pública y suministrar un parámetro de ruta o stream manipulado durante el manejo de importaciones. La explotación requiere conocer un hash válido de encuesta pública. Afecta a REDCap 13.3.0 y posteriores.

Productos y versiones afectadas

• Vanderbilt University REDCap

  • 13.3.0

Qué hacer

1. Verificá si usás REDCap y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• ctsit/redcap_cve_2026_90817_scan ↗A read-only, passive scanner that checks a REDCap host for exposure to and compromise by **CVE-2026-90817** — the unauthenticated survey-endpoint remote-code-execution flaw abused by the XMRig cryptomining campaign…PUBLICADO 16 OCT · 16:44

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

An unauthenticated Remote Code Execution vulnerability was found in the survey passthrough routing and Data Import processing logic, in which a malicious user could potentially exploit it by manipulating HTTP requests to access an unintended controller route from a public survey context and by supplying a crafted file-path/stream parameter during import handling. If successfully exploited, this could allow the attacker to remotely execute arbitrary code on the REDCap server. The attacker does not have to be authenticated in order to exploit this, but exploitation requires knowledge of a valid public survey hash. This vulnerability exists in REDCap 13.3.0 and higher.

Referencias

• www.securifera.com/advisories/

Historial de la alerta

1. 16 OCT · 16:44EXPLOIT PÚBLICO Se publicó el repositorio ctsit/redcap_cve_2026_90817_scan.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.