LORIS heeft mogelijk cross-site scripting in de survey_accounts module

CVE-2026-35403 in Loris beïnvloedt versies vanaf 15.10 tot en met, maar exclusief, 27.0.3 en 28.0.1. Het maakt een Cross-Site Scripting (XSS)-aanval mogelijk binnen de module 'survey_accounts' als een gebruiker een ongeldig bezoeklabel invoert. Hoewel de gegevens correct als JSON worden gecodeerd, zorgt het ontbreken van een correcte 'Content-Type'-header ervoor dat de webbrowser de payload interpreteert als HTML. Dit kan een aanvaller in staat stellen kwaadaardige scripts in de webpagina te injecteren, die in de context van de geauthenticeerde gebruiker worden uitgevoerd. Mogelijke gevolgen zijn onder meer diefstal van sessiecookies, doorverwijzing naar kwaadaardige websites en manipulatie van de gebruikersinterface, waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van neuroimaging-onderzoeksgegevens in gevaar komen.

Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, organizations running LORIS versions 15.10 through 28.0.0 (excluding 28.0.1) are vulnerable. Shared hosting environments where multiple users have access to the LORIS application are also at increased risk.

• php: Examine LORIS application logs for unusual activity or suspicious URL parameters containing potentially malicious JavaScript code. Use grep to search for patterns like <script> or javascript: in request parameters.

grep -i '<script' /var/log/apache2/access.log

• generic web: Monitor access logs for requests to the survey_accounts module with unusual or malformed visit label parameters. Use curl to test the endpoint with a crafted payload and observe the response.

curl -X GET 'http://loris.example.com/survey_accounts?visit_label=<script>alert("XSS")</script>' -s

1. 2026-04-08Disclosure

   disclosure

1. Gereserveerd2026-04-02
2. Gepubliceerd2026-04-08
3. Gewijzigd2026-04-10
4. EPSS bijgewerkt2026-04-16

De oplossing om CVE-2026-35403 te mitigeren is om Loris bij te werken naar versie 27.0.3 of hoger, of naar versie 28.0.1. Deze versies bevatten een correctie die de 'Content-Type'-header correct instelt, waardoor de webbrowser voorkomt dat de JSON-payload verkeerd wordt geïnterpreteerd als HTML. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen, vooral in omgevingen waar de beveiliging van onderzoeksgegevens cruciaal is. Bekijk en versterk bovendien het applicatiebeveiligingsbeleid, inclusief de validatie van gebruikersinvoer en de implementatie van aanvullende beveiligingsmaatregelen om XSS-aanvallen te voorkomen.