LORIS में survey_accounts मॉड्यूल में संभावित क्रॉस-साइट स्क्रिप्टिंग (Cross-Site Scripting)

Loris में CVE-2026-35403 भेद्यता 15.10 से 27.0.3 से पहले और 28.0.1 से पहले के संस्करणों को प्रभावित करती है। यह 'survey_accounts' मॉड्यूल में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) हमले को सक्षम करती है यदि कोई उपयोगकर्ता अमान्य विज़िट लेबल प्रदान करता है। यद्यपि डेटा को सही ढंग से JSON एन्कोड किया गया है, लेकिन सही 'Content-Type' हेडर की कमी के कारण वेब ब्राउज़र पेलोड को HTML के रूप में व्याख्या करता है। यह एक हमलावर को प्रमाणित उपयोगकर्ता के संदर्भ में वेब पेज में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति दे सकता है। संभावित प्रभावों में सत्र कुकीज़ की चोरी, दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट और उपयोगकर्ता इंटरफ़ेस का हेरफेर शामिल है, जिससे न्यूरोइमेजिंग अनुसंधान डेटा की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है।

Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, organizations running LORIS versions 15.10 through 28.0.0 (excluding 28.0.1) are vulnerable. Shared hosting environments where multiple users have access to the LORIS application are also at increased risk.

• php: Examine LORIS application logs for unusual activity or suspicious URL parameters containing potentially malicious JavaScript code. Use grep to search for patterns like <script> or javascript: in request parameters.

grep -i '<script' /var/log/apache2/access.log

• generic web: Monitor access logs for requests to the survey_accounts module with unusual or malformed visit label parameters. Use curl to test the endpoint with a crafted payload and observe the response.

curl -X GET 'http://loris.example.com/survey_accounts?visit_label=<script>alert("XSS")</script>' -s

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-08
3. संशोधित2026-04-10
4. EPSS अद्यतन2026-04-16

CVE-2026-35403 को कम करने का समाधान Loris को संस्करण 27.0.3 या बाद के संस्करण में या संस्करण 28.0.1 में अपडेट करना है। इन संस्करणों में एक फिक्स शामिल है जो 'Content-Type' हेडर को सही ढंग से सेट करता है, जिससे वेब ब्राउज़र JSON पेलोड को HTML के रूप में गलत व्याख्या करने से रोका जा सकता है। अनुसंधान डेटा की सुरक्षा महत्वपूर्ण होने वाले वातावरण में इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, उपयोगकर्ता इनपुट सत्यापन सहित एप्लिकेशन सुरक्षा नीतियों की समीक्षा और मजबूत करें, और XSS हमलों को रोकने के लिए अतिरिक्त सुरक्षा उपायों को लागू करें।