According to its self-reported version number, the version of REDCap running on the remote host is prior to 14.9.6. It is, therefore, affected by multiple vulnerabilities :

- An HTML injection issue in the Project Dashboard name, allowing an attacker to trigger a logout request through a crafted link, terminating the session of any user clicking on the dashboard name, or to redirect them to a phishing website. (CVE-2024-56310)

- An HTML injection issue in the Notes section of a calendar event, allowing an attacker to trigger a logout request or to redirect a user to a phishing website. (CVE-2024-56311)

- A stored cross-site scripting (XSS) issue in the Project Dashboard name, allowing an authenticated user to inject arbitrary scripts executed when another user opens the dashboard. (CVE-2024-56312)

- A stored cross-site scripting (XSS) issue in the Notes field of a calendar event, allowing an authenticated user to inject arbitrary scripts executed when the event is viewed. (CVE-2024-56313)

- A stored cross-site scripting (XSS) issue in the Project name, allowing an authenticated user to inject arbitrary scripts executed when another user accesses the project. (CVE-2024-56314)

- A stored cross-site scripting (XSS) issue in the message field of the built-in messenger, allowing an authenticated user to inject arbitrary scripts executed when the recipient opens the message. (CVE-2024-56376)

- A stored cross-site scripting (XSS) issue in the Survey Title and Survey Instructions fields, allowing an authenticated user to inject arbitrary scripts executed when a respondent opens the survey. (CVE-2024-56377)

- A reflected cross-site scripting (XSS) issue in the email subject field, reachable through the upload of a CSV file containing a list of alert configurations. (CVE-2025-23110)

- An HTML injection issue via the survey field name, allowing an attacker to redirect a survey respondent to a phishing website. (CVE-2025-23111)

- A stored cross-site scripting (XSS) issue via the survey field name, allowing an authenticated user to inject arbitrary scripts executed when a respondent opens the survey. (CVE-2025-23112)

- An HTML injection issue via the alert-title field, reachable through the upload of a CSV file containing a list of alert configurations, leading to a cross-site request forgery (CSRF) logout of the victim. (CVE-2025-23113)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモートホストで実行されている REDCap のバージョンは、14.9.6 より前のものです。したがって、以下の複数の脆弱性による影響を受けます。

- プロジェクトダッシュボード名に HTML インジェクションの問題があり、攻撃者が細工されたリンクを通じてログアウトリクエストを発生させ、ダッシュボード名をクリックしたユーザーのセッションを終了させたり、フィッシングウェブサイトにリダイレクトしたりすることが可能になっている。(CVE-2024-56310)

- カレンダーイベントのノートセクションに HTML インジェクションの問題があり、攻撃者がログアウトリクエストを発生させたり、ユーザーをフィッシングウェブサイトにリダイレクトしたりすることが可能になっている。(CVE-2024-56311)

- プロジェクトダッシュボード名に蓄積型クロスサイトスクリプティング (XSS) の問題があり、他のユーザーがダッシュボードを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56312)

- カレンダーイベントのノートフィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、イベントが表示される際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56313)

- プロジェクト名に蓄積型クロスサイトスクリプティング (XSS) の問題があり、他のユーザーがプロセスにアクセスする際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56314)

- ビルトインメッセンジャーのメッセージフィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、受信者がメッセージを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56376)

- アンケートタイトルとアンケート指示フィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、回答者がアンケートを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56377)

- メールの件名フィールドに反射型クロスサイトスクリプティング (XSS) の問題があり、アラート設定のリストを含む CSV ファイルをアップロードして到達可能になっている。(CVE-2025-23110)

- アンケートフィールド名を介した HTML インジェクションの問題があり、攻撃者がアンケートの回答者をフィッシングウェブサイトにリダイレクトすることが可能性になっている。(CVE-2025-23111)

- アンケートフィールド名を介した蓄積型クロスサイトスクリプティング (XSS) の問題があり、回答者がアンケートを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2025-23112)

- アラートタイトルフィールドを介した HTML インジェクションの問題があり、アラート設定のリストを含む CSV ファイルのアップロードして到達可能になっており、被害者のクロスサイトリクエスト偽造 (CSRF) ログアウトを引き起こす可能性がある。(CVE-2025-23113)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自我报告的版本号，远程主机上运行的 REDCap 版本低于 14.9.6。因此，该服务器受到多个漏洞的影响：

- 项目仪表板名称中的 HTML 注入问题，允许攻击者通过构建的链接触发注销请求，从而终止单击仪表板名称的任何用户的会话，或将他们重定向到钓鱼网站。（CVE-2024-56310）

- 日历事件的“备注”部分中存在 HTML 注入问题，允许攻击者触发注销请求或将用户重定向至钓鱼网站。（CVE-2024-56311）

- 项目仪表板名称中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户注入其他用户打开仪表板时执行的任意脚本。（CVE-2024-56312）

- 项目仪表板名称中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户注入其他用户打开仪表板时执行的任意脚本。（CVE-2024-56313）

- 项目名称中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户注入其他用户访问项目时执行的任意脚本。（CVE-2024-56314）

- 项目名称中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户注入其他用户访问项目时执行的任意脚本。（CVE-2024-56376）

- 调查标题和调查说明字段中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户在受访者打开调查时注入任意脚本。（CVE-2024-56377）

- 电子邮件主题字段中存在反射型跨站脚本 （XSS） 问题，可通过上传包含警报配置列表的 CSV 文件来访问。（CVE-2025-23110）

- 通过调查字段名称引发的 HTML 注入问题，允许攻击者将调查受访者重定向至钓鱼网站。（CVE-2025-23111）

- 调查字段名称中存在存储型跨站脚本 （XSS） 问题，允许经认证的用户在受访者打开调查时注入任意脚本。（CVE-2025-23112）

- 通过 alert-title 字段发生的 HTML 注入问题，可通过上传包含警报配置列表的 CSV 文件到达该问题，从而导致受害者通过跨站请求伪造 （CSRF） 注销。（CVE-2025-23113）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根據其自我報告的版本號碼，遠端主機上執行的 REDCap 版本早於 14.9.6。因此，該應用程式受到多個弱點影響：

- 專案儀表板名稱存在 HTML 插入問題，攻擊者可透過特製連結觸發登出要求，導致點按該儀表板名稱的使用者工作階段遭終止，或將其重新導向至網路釣魚網站。(CVE-2024-56310)

- 行事曆事件的「備註」區段存在 HTML 插入問題，攻擊者可藉此觸發登出要求或將使用者重新導向至網路釣魚網站。(CVE-2024-56311)

- 專案儀表板名稱中存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在其他使用者開啟該儀表板時執行。(CVE-2024-56312)

- 行事曆事件的「備註」區段存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在檢視該事件時執行。(CVE-2024-56313)

- 專案名稱存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在其他使用者存取該專案時執行。(CVE-2024-56314)

- 內建通訊軟體的訊息欄位存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在收件者開啟訊息時執行。(CVE-2024-56376)

-「問卷標題」與「問卷說明」欄位存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在受訪者開啟問卷時執行。(CVE-2024-56377)

- 電子郵件主旨欄位存在反射型跨網站指令碼 (XSS) 問題，可透過上傳包含警示設定清單的 CSV 檔案觸發。(CVE-2025-23110)

- 問卷欄位名稱存在 HTML 插入問題，攻擊者可藉此將問卷受訪者重新導向至網路釣魚網站。(CVE-2025-23111)

- 問卷欄位名稱存在儲存型跨網站指令碼 (XSS) 問題，允許經驗證的使用者插入任意指令碼，並在受訪者開啟問卷時執行。(CVE-2025-23112)

- alert-title 欄位存在 HTML 插入問題，可透過上傳包含警示設定清單的 CSV 檔案觸發，進而導致受害者因跨網站要求偽造 (CSRF) 而遭強制登出。(CVE-2025-23113)

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115433	REDCap < 14.9.6 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2026/8/19	2026/8/19	high
115433	REDCap < 14.9.6 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/8/19	2026/8/19	high
115433	REDCap < 14.9.6 多个漏洞	Web App Scanning	Component Vulnerability	2026/8/19	2026/8/19	high
115433	REDCap < 14.9.6 多個弱點	Web App Scanning	Component Vulnerability	2026/8/19	2026/8/19	high

検出

プラグインの検索

high

high

high

high