Plateforme
php
Composant
loris
Corrigé dans
15.10.1
28.0.1
CVE-2026-35403 describes a cross-site scripting (XSS) vulnerability discovered in LORIS, a self-hosted web application for neuroimaging research. This flaw allows attackers to inject malicious scripts if a user is tricked into following a specially crafted link containing an invalid visit label. The vulnerability impacts LORIS versions 15.10 through 28.0.0 (excluding 28.0.1) and has been resolved in version 27.0.3.
La vulnérabilité CVE-2026-35403 dans Loris affecte les versions à partir de 15.10 jusqu'à, mais sans inclure, 27.0.3 et 28.0.1. Elle permet une attaque de Cross-Site Scripting (XSS) dans le module 'survey_accounts' si un utilisateur fournit une étiquette de visite invalide. Bien que les données soient correctement encodées en JSON, l'absence d'un en-tête 'Content-Type' approprié amène le navigateur web à interpréter la charge utile comme du HTML. Cela pourrait permettre à un attaquant d'injecter des scripts malveillants dans la page web, qui s'exécuteraient dans le contexte de l'utilisateur authentifié. Les impacts potentiels incluent le vol de cookies de session, le redirection vers des sites web malveillants et la manipulation de l'interface utilisateur, compromettant la confidentialité, l'intégrité et la disponibilité des données de recherche en neuroimagerie.
La vulnérabilité est déclenchée en fournissant une étiquette de visite invalide dans le module 'survey_accounts'. Un attaquant pourrait manipuler cette entrée pour injecter du code JavaScript malveillant. Étant donné que Loris est une application auto-hébergée, l'exposition à cette vulnérabilité dépend de la configuration du réseau et des mesures de sécurité mises en œuvre. Si l'application est accessible depuis Internet sans protections adéquates, le risque d'exploitation est plus élevé. L'absence d'un en-tête 'Content-Type' approprié est le facteur clé qui permet l'exploitation de cette vulnérabilité, car le navigateur interprète incorrectement les données JSON comme du HTML.
Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, organizations running LORIS versions 15.10 through 28.0.0 (excluding 28.0.1) are vulnerable. Shared hosting environments where multiple users have access to the LORIS application are also at increased risk.
• php: Examine LORIS application logs for unusual activity or suspicious URL parameters containing potentially malicious JavaScript code. Use grep to search for patterns like <script> or javascript: in request parameters.
grep -i '<script' /var/log/apache2/access.log• generic web: Monitor access logs for requests to the survey_accounts module with unusual or malformed visit label parameters. Use curl to test the endpoint with a crafted payload and observe the response.
curl -X GET 'http://loris.example.com/survey_accounts?visit_label=<script>alert("XSS")</script>' -sdisclosure
Statut de l'Exploit
EPSS
0.03% (percentile 9%)
CISA SSVC
Vecteur CVSS
La solution pour atténuer CVE-2026-35403 est de mettre à jour Loris vers la version 27.0.3 ou ultérieure, ou vers la version 28.0.1. Ces versions incluent une correction qui définit correctement l'en-tête 'Content-Type', empêchant le navigateur web de mal interpréter la charge utile JSON comme du HTML. Il est recommandé d'appliquer cette mise à jour dès que possible, en particulier dans les environnements où la sécurité des données de recherche est critique. De plus, examinez et renforcez les politiques de sécurité de l'application, y compris la validation des entrées utilisateur et la mise en œuvre de mesures de sécurité supplémentaires pour prévenir les attaques XSS.
Actualice el módulo survey_accounts a la versión 27.0.3 o superior, o a la versión 28.0.1. Esta actualización corrige la vulnerabilidad de XSS al asegurar que el encabezado Content-Type se establezca correctamente, evitando que el navegador interprete la carga útil como HTML.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Une attaque XSS (Cross-Site Scripting) permet à un attaquant d'injecter des scripts malveillants dans des pages web consultées par d'autres utilisateurs. Ces scripts peuvent voler des informations confidentielles, rediriger vers des sites web malveillants ou modifier l'apparence de la page.
La mise à jour vers la version 27.0.3 ou ultérieure corrige la vulnérabilité XSS et protège vos données de recherche contre les attaques potentielles.
Si vous ne pouvez pas mettre à jour immédiatement, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, telles qu'un pare-feu d'applications web (WAF), pour atténuer le risque.
Vérifiez la version de Loris que vous utilisez. Si elle est antérieure à 27.0.3 ou 28.0.1, elle est vulnérable à cette vulnérabilité.
Vous pouvez trouver plus d'informations sur cette vulnérabilité dans les bases de données de vulnérabilités, telles que la base de données National Vulnerability Database (NVD) de la NIST.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.