LORIS tiene un posible fallo de cross-site scripting en el módulo help_editor

La vulnerabilidad XSS en LORIS permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario. Esto podría resultar en el robo de credenciales, la modificación de datos o la redirección a sitios web maliciosos. La capacidad de descargar archivos Markdown arbitrarios amplía el impacto, permitiendo potencialmente la exfiltración de información sensible almacenada en el servidor. Un atacante podría explotar esta vulnerabilidad para comprometer la confidencialidad, integridad y disponibilidad del sistema LORIS y los datos que contiene, afectando potencialmente la investigación neuroimagen y la privacidad de los participantes.

Research institutions and laboratories utilizing LORIS to manage neuroimaging data are at significant risk. Organizations with legacy LORIS deployments or those that have not implemented robust input validation practices are particularly vulnerable. Shared hosting environments where multiple LORIS instances reside on the same server could also be affected, as a successful attack on one instance could potentially compromise others.

• php: Examine LORIS application logs for suspicious requests containing <script> tags or other XSS payloads within the help_editor module.

grep -i '<script' /var/log/loris/application.log

• generic web: Use curl to test for XSS by injecting a simple payload into a parameter handled by the help_editor module and observing the response for script execution.

curl 'http://loris-server/help_editor?input=<script>alert(1)</script>' 

• generic web: Check access logs for unusual user agent strings or referral URLs associated with requests to the help_editor module.

1. 2026-04-08Disclosure

   disclosure

2. 2026-04-08Patch

   patch

1. Reservado2026-04-01
2. Publicada2026-04-08
3. Modificada2026-04-09
4. EPSS actualizado2026-04-16

La mitigación principal para CVE-2026-35169 es actualizar LORIS a la versión 27.0.3 o 28.0.1. Si la actualización causa problemas de compatibilidad, considere una reversión a una versión anterior conocida como estable, aunque esto solo es una solución temporal. Como medida adicional, implemente reglas en un Web Application Firewall (WAF) o proxy para bloquear solicitudes que contengan patrones sospechosos de inyección de scripts. Revise los registros de acceso y error en busca de intentos de explotación, prestando especial atención a solicitudes con caracteres inusuales en los parámetros de la URL. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta intentando acceder a un enlace especialmente diseñado para activar la XSS y verificando que no se ejecute ningún script malicioso.