CVE-2026-34392
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W LORIS (Longitudinal Online Research and Imaging System) od wersji 20.0.0 do 27.0.2 i 28.0.0 występuje błąd w routerze plików statycznych, umożliwiający atakującemu wyjście poza zamierzony katalog i pobranie nieautoryzowanych plików przez endpointy static, css i js. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
Ocena ryzyka
Atakujący może pobrać poufne pliki z serwera, co może prowadzić do wycieku danych.
Rekomendacja
Należy zaktualizować LORIS do wersji 27.0.3 lub 28.0.1.
Inne podatności w LORIS
Zobacz wszystkie- CVE-2026-35446Wysokie
LORIS w wersjach od 24.0.0 do przed 27.0.3 i 28.0.1 zawiera podatność polegającą na błędnej kolejności operacji w FilesDownloadHandler, co umożliwia atakującemu wyjście poza zamierzone katalogi do pobierania plików.
- CVE-2026-35403Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 15.10 do 27.0.3 i 28.0.1 istnieje podatność na atak XSS w module survey_accounts. Gdy użytkownik poda nieprawidłową etykietę wizyty, dane są poprawnie kodowane w JSON, ale brak nagłówka Content-Type powoduje, że przeglądarka interpretuje ładunek jako HTML, co umożliwia atak XSS po nakłonieniu użytkownika do kliknięcia w nieprawidłowy link.
- CVE-2026-35400Niskie
W systemie LORIS (wersje od 20.0.0 do 27.0.3 i 28.0.1) wykryto podatność w module publikacji, która pozwala atakującemu na sfałszowanie adresu URL w żądaniu POST, co może skutkować wysłaniem e-maila do zewnętrznej domeny pod kontrolą atakującego, wyglądającego jakby pochodził z LORIS. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
- CVE-2026-35169Wysokie
LORIS (Longitudinal Online Research and Imaging System) w wersjach przed 27.0.3 i 28.0.1 zawiera podatność na odbity atak XSS w module help_editor, ponieważ nieprawidłowo oczyszcza niektóre zmienne dostarczone przez użytkownika. Atakujący może nakłonić użytkownika do kliknięcia w nieprawidłowy link, co może skutkować wykonaniem skryptu w przeglądarce ofiary. Ten sam wektor może również umożliwić atakującemu pobranie dowolnych plików markdown na niezaktualizowanym serwerze.
- CVE-2026-35165Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 21.0.0 do 27.0.3 i 28.0.1, backendowy endpoint dokumentów nie sprawdzał poprawnie uprawnień dostępu. Mimo że frontend ograniczał dostęp, użytkownik mógł teoretycznie pobrać plik, do którego nie powinien mieć dostępu, jeśli znał lub był w stanie odgadnąć nazwę pliku.
- CVE-2026-34985Średnie
LORIS w wersjach od 16.1.0 do przed 27.0.3 i 28.0.1 zawiera podatność w module media. Backend nie sprawdza uprawnień dostępu do plików, co pozwala osobie nieuprawnionej na dostęp do plików, jeśli zna ich nazwę.
- CVE-2026-33350Wysokie
W LORIS (Longitudinal Online Research and Imaging System) przed wersjami 27.0.3 i 28.0.1 stwierdzono iniekcję SQL w oknie popup opinii MRI w przeglądarce obrazów. Atakujący może wykorzystać iniekcję SQL do uzyskania dostępu lub modyfikacji danych na serwerze. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
Oryginalny opis (angielski, źródło NVD)
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. From 20.0.0 to before 27.0.3 and 28.0.1, a bug in the static file router can allow an attacker to traverse outside of the intended directory, allowing unintended files to be downloaded through the static, css, and js endpoints. This vulnerability is fixed in 27.0.3 and 28.0.1.