LORIS présente une vulnérabilité de cross-site scripting potentielle dans le module help_editor

L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'exécuter du code JavaScript arbitraire dans le contexte du navigateur de la victime. Cela peut conduire au vol de cookies de session, à la redirection vers des sites malveillants, ou à la modification du contenu affiché. De plus, la vulnérabilité permet le téléchargement de fichiers Markdown arbitraires depuis le serveur, ce qui pourrait révéler des informations sensibles stockées dans ces fichiers, ou permettre à l'attaquant de compromettre davantage le système. L'impact est amplifié si LORIS est utilisé dans un environnement de recherche sensible, où des données confidentielles sur les patients pourraient être exposées.

Research institutions and laboratories utilizing LORIS to manage neuroimaging data are at significant risk. Organizations with legacy LORIS deployments or those that have not implemented robust input validation practices are particularly vulnerable. Shared hosting environments where multiple LORIS instances reside on the same server could also be affected, as a successful attack on one instance could potentially compromise others.

• php: Examine LORIS application logs for suspicious requests containing <script> tags or other XSS payloads within the help_editor module.

grep -i '<script' /var/log/loris/application.log

• generic web: Use curl to test for XSS by injecting a simple payload into a parameter handled by the help_editor module and observing the response for script execution.

curl 'http://loris-server/help_editor?input=<script>alert(1)</script>' 

• generic web: Check access logs for unusual user agent strings or referral URLs associated with requests to the help_editor module.

1. 2026-04-08Disclosure

   disclosure

2. 2026-04-08Patch

   patch

1. Réservé2026-04-01
2. Publiée2026-04-08
3. Modifiée2026-04-09
4. EPSS mis à jour2026-04-16

La mitigation principale consiste à mettre à jour LORIS vers la version 27.0.3 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à implémenter des règles de filtrage strictes au niveau du pare-feu applicatif web (WAF) pour bloquer les requêtes contenant des chaînes de caractères suspectes. Il est également recommandé de désactiver temporairement le module 'help_editor' si possible. Après la mise à jour, vérifiez que la vulnérabilité est bien corrigée en testant l'application avec des payloads XSS connus.