CVE-2026-33350
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W LORIS (Longitudinal Online Research and Imaging System) przed wersjami 27.0.3 i 28.0.1 stwierdzono iniekcję SQL w oknie popup opinii MRI w przeglądarce obrazów. Atakujący może wykorzystać iniekcję SQL do uzyskania dostępu lub modyfikacji danych na serwerze. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
Ocena ryzyka
Atakujący może zdalnie odczytać lub zmienić dane w bazie danych, co stanowi poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Należy zaktualizować LORIS do wersji 27.0.3 lub 28.0.1.
Inne podatności w LORIS
Zobacz wszystkie- CVE-2026-35446Wysokie
LORIS w wersjach od 24.0.0 do przed 27.0.3 i 28.0.1 zawiera podatność polegającą na błędnej kolejności operacji w FilesDownloadHandler, co umożliwia atakującemu wyjście poza zamierzone katalogi do pobierania plików.
- CVE-2026-35403Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 15.10 do 27.0.3 i 28.0.1 istnieje podatność na atak XSS w module survey_accounts. Gdy użytkownik poda nieprawidłową etykietę wizyty, dane są poprawnie kodowane w JSON, ale brak nagłówka Content-Type powoduje, że przeglądarka interpretuje ładunek jako HTML, co umożliwia atak XSS po nakłonieniu użytkownika do kliknięcia w nieprawidłowy link.
- CVE-2026-35400Niskie
W systemie LORIS (wersje od 20.0.0 do 27.0.3 i 28.0.1) wykryto podatność w module publikacji, która pozwala atakującemu na sfałszowanie adresu URL w żądaniu POST, co może skutkować wysłaniem e-maila do zewnętrznej domeny pod kontrolą atakującego, wyglądającego jakby pochodził z LORIS. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
- CVE-2026-35169Wysokie
LORIS (Longitudinal Online Research and Imaging System) w wersjach przed 27.0.3 i 28.0.1 zawiera podatność na odbity atak XSS w module help_editor, ponieważ nieprawidłowo oczyszcza niektóre zmienne dostarczone przez użytkownika. Atakujący może nakłonić użytkownika do kliknięcia w nieprawidłowy link, co może skutkować wykonaniem skryptu w przeglądarce ofiary. Ten sam wektor może również umożliwić atakującemu pobranie dowolnych plików markdown na niezaktualizowanym serwerze.
- CVE-2026-35165Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 21.0.0 do 27.0.3 i 28.0.1, backendowy endpoint dokumentów nie sprawdzał poprawnie uprawnień dostępu. Mimo że frontend ograniczał dostęp, użytkownik mógł teoretycznie pobrać plik, do którego nie powinien mieć dostępu, jeśli znał lub był w stanie odgadnąć nazwę pliku.
- CVE-2026-34985Średnie
LORIS w wersjach od 16.1.0 do przed 27.0.3 i 28.0.1 zawiera podatność w module media. Backend nie sprawdza uprawnień dostępu do plików, co pozwala osobie nieuprawnionej na dostęp do plików, jeśli zna ich nazwę.
- CVE-2026-34392Wysokie
W LORIS (Longitudinal Online Research and Imaging System) od wersji 20.0.0 do 27.0.2 i 28.0.0 występuje błąd w routerze plików statycznych, umożliwiający atakującemu wyjście poza zamierzony katalog i pobranie nieautoryzowanych plików przez endpointy static, css i js. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
Oryginalny opis (angielski, źródło NVD)
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. Prior to 27.0.3 and 28.0.1, a SQL injection has been identified in some code sections for the MRI feedback popup window of the imaging browser. Attackers can use SQL ingestion to access/alter data on the server. This vulnerability is fixed in 27.0.3 and 28.0.1.