CVE-2026-39985
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W LORIS przed wersjami 27.0.3 i 28.0.1 parametr redirect przy logowaniu nie był walidowany pod kątem przynależności do LORIS. Można było wykorzystać link z zewnętrznym parametrem redirect, aby nakłonić użytkowników do odwiedzenia dowolnych adresów URL. Podatność naprawiono w wersjach 27.0.3 i 28.0.1.
Ocena ryzyka
Atakujący może wykorzystać otwarte przekierowanie do phishingu, nakłaniając użytkowników do odwiedzenia złośliwych stron po zalogowaniu.
Rekomendacja
Zaktualizuj LORIS do wersji 27.0.3 lub 28.0.1 (lub nowszej), które zawierają poprawkę walidacji parametru redirect.
Inne podatności w LORIS
Zobacz wszystkie- CVE-2026-55147Średnie
W LORIS w wersjach od 22.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 API modułu `imaging_browser` pozwala na edycję danych obrazowania bez sprawdzania uprawnień edycji obowiązujących w interfejsie Imaging Browser. Uwierzytelniony wywołujący API może modyfikować dane bez wymaganej autoryzacji.
- CVE-2026-55146Średnie
W LORIS w wersjach od 16.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 backend `issue_tracker` nieprawidłowo weryfikuje uprawnienia edycji, mimo że interfejs ogranicza edytowane zgłoszenia. Uwierzytelniony użytkownik może zmieniać zgłoszenia spoza swojego zakresu uprawnień.
- CVE-2026-35446Wysokie
LORIS w wersjach od 24.0.0 do przed 27.0.3 i 28.0.1 zawiera podatność polegającą na błędnej kolejności operacji w FilesDownloadHandler, co umożliwia atakującemu wyjście poza zamierzone katalogi do pobierania plików.
- CVE-2026-35403Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 15.10 do 27.0.3 i 28.0.1 istnieje podatność na atak XSS w module survey_accounts. Gdy użytkownik poda nieprawidłową etykietę wizyty, dane są poprawnie kodowane w JSON, ale brak nagłówka Content-Type powoduje, że przeglądarka interpretuje ładunek jako HTML, co umożliwia atak XSS po nakłonieniu użytkownika do kliknięcia w nieprawidłowy link.
- CVE-2026-35400Niskie
W systemie LORIS (wersje od 20.0.0 do 27.0.3 i 28.0.1) wykryto podatność w module publikacji, która pozwala atakującemu na sfałszowanie adresu URL w żądaniu POST, co może skutkować wysłaniem e-maila do zewnętrznej domeny pod kontrolą atakującego, wyglądającego jakby pochodził z LORIS. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
- CVE-2026-35169Wysokie
LORIS (Longitudinal Online Research and Imaging System) w wersjach przed 27.0.3 i 28.0.1 zawiera podatność na odbity atak XSS w module help_editor, ponieważ nieprawidłowo oczyszcza niektóre zmienne dostarczone przez użytkownika. Atakujący może nakłonić użytkownika do kliknięcia w nieprawidłowy link, co może skutkować wykonaniem skryptu w przeglądarce ofiary. Ten sam wektor może również umożliwić atakującemu pobranie dowolnych plików markdown na niezaktualizowanym serwerze.
- CVE-2026-35165Średnie
W LORIS (Longitudinal Online Research and Imaging System) w wersjach od 21.0.0 do 27.0.3 i 28.0.1, backendowy endpoint dokumentów nie sprawdzał poprawnie uprawnień dostępu. Mimo że frontend ograniczał dostęp, użytkownik mógł teoretycznie pobrać plik, do którego nie powinien mieć dostępu, jeśli znał lub był w stanie odgadnąć nazwę pliku.
- CVE-2026-34985Średnie
LORIS w wersjach od 16.1.0 do przed 27.0.3 i 28.0.1 zawiera podatność w module media. Backend nie sprawdza uprawnień dostępu do plików, co pozwala osobie nieuprawnionej na dostęp do plików, jeśli zna ich nazwę.
- CVE-2026-34392Wysokie
W LORIS (Longitudinal Online Research and Imaging System) od wersji 20.0.0 do 27.0.2 i 28.0.0 występuje błąd w routerze plików statycznych, umożliwiający atakującemu wyjście poza zamierzony katalog i pobranie nieautoryzowanych plików przez endpointy static, css i js. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
- CVE-2026-33350Wysokie
W LORIS (Longitudinal Online Research and Imaging System) przed wersjami 27.0.3 i 28.0.1 stwierdzono iniekcję SQL w oknie popup opinii MRI w przeglądarce obrazów. Atakujący może wykorzystać iniekcję SQL do uzyskania dostępu lub modyfikacji danych na serwerze. Podatność została naprawiona w wersjach 27.0.3 i 28.0.1.
Oryginalny opis (angielski, źródło NVD)
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. Prior to 27.0.3 and 28.0.1, the redirect parameter upon login to LORIS was not validating the value of the redirect as being within LORIS, which could be used to trick users into visiting arbitrary URLs if they are given a link with a third party redirect parameter. This vulnerability is fixed in 27.0.3 and 28.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS