在 REDCap 14.9.6 中发现了一个问题。在上传包含警报配置列表的 CSV 文件时，alert-title 中存在一个 action=myprojects&logout=1 的 CSRF 问题。攻击者可以向受害者发送一个包含 HTML 注入有效载荷在 alert-title 中的 CSV 文件。一旦受害者上传该文件，他将自动进入一个页面以查看上传的数据。如果受害者点击 alert-title 值，则可以触发注销请求并终止其会话，或重定向到网络钓鱼网站。此漏洞源于对注销功能缺乏 CSRF 保护。

该 CSRF 漏洞允许攻击者诱骗用户执行未经授权的操作。攻击者可以创建一个包含恶意 HTML 注入有效载荷的 CSV 文件，并诱导受害者上传该文件。一旦受害者上传文件并点击 alert-title 字段，攻击者就可以触发登出请求，从而终止用户的会话。更严重的是，攻击者可以将用户重定向到钓鱼网站，窃取用户的凭据或其他敏感信息。由于 REDCap 广泛应用于医疗保健和研究领域，该漏洞可能导致患者数据泄露或研究结果被篡改。

Organizations and individuals utilizing REDCap for data management and research are at risk, particularly those relying on older, unpatched versions (≤14.9.6). Shared hosting environments where multiple users access the same REDCap instance are also at increased risk, as a compromised user could potentially impact other users.

• php / web:

 grep -r "action=myprojects&logout=1" /var/www/html/redcap/ | grep CSV

• generic web:

 curl -I https://your-redcap-instance.com/index.php?action=myprojects&logout=1 | grep -i "logout"

1. 2025-01-10Disclosure

   disclosure

1. 已保留2025-01-10
2. 发布日期2025-01-10
3. 修改日期2025-01-13
4. EPSS 更新日期2026-04-02

目前官方尚未发布修复版本。作为临时缓解措施，建议实施以下策略：首先，严格控制用户上传 CSV 文件的权限，只允许授权用户上传。其次，在 alert-title 字段增加 CSRF 保护机制，例如使用令牌验证。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。最后，定期审查 REDCap 的配置，确保其安全性。