LORIS heeft incorrecte toegangscontroles in document_repository
Platform
php
Component
loris
Opgelost in
21.0.1
28.0.1
CVE-2026-35165 is a vulnerability affecting LORIS, a self-hosted web application for neuroimaging research. This flaw allows unauthorized users to potentially download files they lack permission to access, bypassing frontend restrictions. The vulnerability impacts versions 21.0.0 through 28.0.0 (excluding 28.0.1) and has been resolved in versions 27.0.3 and 28.0.1.
Impact en Aanvalsscenarios
CVE-2026-35165 treft Loris, een zelf-gehoste webapplicatie voor data- en projectbeheer in neuroimaging onderzoek. De kwetsbaarheid bevindt zich in het backend endpoint van de 'document_repository' module. Hoewel de frontend bestandstoegang beperkt, verifieert de backend de toegangsrechten niet correct. Dit stelt een aanvaller in staat, die een bestandsnaam kent of kan raden, een bestand te downloaden waarvoor hij geen toegang zou moeten hebben. Deze beveiligingsfout kan de vertrouwelijkheid van gevoelige onderzoeksgegevens in gevaar brengen, vooral als bestanden persoonlijke patiëntgegevens of vertrouwelijke voorlopige resultaten bevatten. De ernst van de kwetsbaarheid wordt beoordeeld als 6.3 op de CVSS-schaal, wat een matig risico aangeeft.
Uitbuitingscontext
Een aanvaller kan deze kwetsbaarheid uitbuiten door bestandsnamen te kennen of te raden die zijn opgeslagen in de documentrepository van Loris. Er is geen voorafgaande authenticatie vereist om de kwetsbaarheid te exploiteren, hoewel de aanvaller toegang moet hebben tot de Loris webinterface. De complexiteit van de exploitatie is relatief laag, omdat het slechts kennis van de bestandsnaam vereist. De potentiële impact is de openbaarmaking van vertrouwelijke informatie, wat ernstige gevolgen kan hebben voor onderzoek en de privacy van patiënten.
Wie Loopt Risicowordt vertaald…
Research institutions and organizations utilizing LORIS for neuroimaging data management are at risk. Specifically, deployments with less stringent file access controls or those running vulnerable versions of LORIS are particularly susceptible. Shared hosting environments where multiple users share the same LORIS instance should be prioritized for patching.
Detectiestappenwordt vertaald…
• linux / server: Monitor LORIS application logs for unusual file access attempts or errors related to file permissions. Use journalctl -u loris to filter for relevant events.
• generic web: Monitor web server access logs for requests targeting files within the document repository, particularly those with unusual extensions or patterns. Use grep 'LORISDOCUMENTREPOSITORY' /var/log/apache2/access.log to identify potential exploitation attempts.
Aanvalstijdlijn
- Disclosure
disclosure
Dreigingsinformatie
Exploit Status
EPSS
0.03% (9% percentiel)
CISA SSVC
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
- Attack Complexity
- Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
- Privileges Required
- Laag — elk geldig gebruikersaccount is voldoende.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Laag — gedeeltelijke toegang tot enkele gegevens.
- Integrity
- Laag — aanvaller kan enkele gegevens met beperkte omvang aanpassen.
- Availability
- Laag — gedeeltelijke of intermitterende denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gereserveerd
- Gepubliceerd
- EPSS bijgewerkt
Mitigatie en Workarounds
De oplossing voor deze kwetsbaarheid is om Loris te updaten naar versie 27.0.3 of hoger, of naar versie 28.0.1. Deze versies bevatten fixes die de toegangsrechten in de backend correct verifiëren, waardoor het risico van ongeautoriseerde bestandstoegang wordt verminderd. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen om onderzoeksgegevens te beschermen. Controleer bovendien de toegangsrechtenconfiguraties in Loris om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot gevoelige bestanden. Het monitoren van systeemlogboeken op verdachte activiteiten kan ook helpen bij het detecteren en voorkomen van potentiële aanvallen.
Hoe te verhelpenwordt vertaald…
Actualice LORIS a la versión 27.0.3 o superior, o a la versión 28.0.1 o superior. Estas versiones corrigen la vulnerabilidad al verificar correctamente los permisos de acceso en el backend del repositorio de documentos, evitando que los usuarios descarguen archivos a los que no deberían tener acceso.
CVE Beveiligingsnieuwsbrief
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Veelgestelde vragen
Wat is CVE-2026-35165 in LORIS?
Versies van Loris tussen 21.0.0 (exclusief) en 27.0.3 (exclusief), evenals versie 28.0.0, zijn kwetsbaar voor deze kwetsbaarheid.
Ben ik getroffen door CVE-2026-35165 in LORIS?
Controleer de versie van Loris die u gebruikt. Als het een versie is vóór 27.0.3 of 28.0.1, dan is uw installatie kwetsbaar.
Hoe los ik CVE-2026-35165 in LORIS op?
Als u Loris niet onmiddellijk kunt updaten, overweeg dan om aanvullende beveiligingsmaatregelen te implementeren, zoals het beperken van de netwerktoegang en het monitoren van systeemlogboeken.
Wordt CVE-2026-35165 actief misbruikt?
Momenteel zijn er geen specifieke tools om deze kwetsbaarheid te detecteren. U kunt echter web vulnerability scanning tools gebruiken om oudere versies van Loris te identificeren.
Waar vind ik het officiële LORIS-beveiligingsadvies voor CVE-2026-35165?
U kunt contact opnemen met het Loris support team of de officiële Loris documentatie raadplegen voor meer informatie.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.