LORIS apresenta potencial cross-site scripting no módulo survey_accounts

A vulnerabilidade CVE-2026-35403 no Loris afeta versões a partir de 15.10 até antes de 27.0.3 e 28.0.1. Permite um ataque de Cross-Site Scripting (XSS) no módulo 'survey_accounts' se um usuário fornecer uma etiqueta de visita inválida. Embora os dados sejam codificados corretamente em formato JSON, a ausência de um cabeçalho 'Content-Type' adequado faz com que o navegador web interprete a carga útil como HTML. Isso pode permitir que um atacante injete scripts maliciosos na página web, que serão executados no contexto do usuário autenticado. O impacto potencial inclui o roubo de cookies de sessão, redirecionamento para sites maliciosos e manipulação da interface do usuário, comprometendo a confidencialidade, integridade e disponibilidade dos dados de pesquisa em neuroimagem.

Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, organizations running LORIS versions 15.10 through 28.0.0 (excluding 28.0.1) are vulnerable. Shared hosting environments where multiple users have access to the LORIS application are also at increased risk.

• php: Examine LORIS application logs for unusual activity or suspicious URL parameters containing potentially malicious JavaScript code. Use grep to search for patterns like <script> or javascript: in request parameters.

grep -i '<script' /var/log/apache2/access.log

• generic web: Monitor access logs for requests to the survey_accounts module with unusual or malformed visit label parameters. Use curl to test the endpoint with a crafted payload and observe the response.

curl -X GET 'http://loris.example.com/survey_accounts?visit_label=<script>alert("XSS")</script>' -s

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-08
3. Modificada2026-04-10
4. EPSS atualizado2026-04-16

A solução para mitigar CVE-2026-35403 é atualizar o Loris para a versão 27.0.3 ou superior, ou para a versão 28.0.1. Essas versões incluem uma correção que define corretamente o cabeçalho 'Content-Type', evitando a interpretação incorreta da carga útil JSON como HTML. Recomenda-se aplicar esta atualização o mais rápido possível, especialmente em ambientes onde a segurança dos dados de pesquisa é crítica. Além disso, revise e fortaleça as políticas de segurança da aplicação, incluindo a validação de entrada do usuário e a implementação de medidas de segurança adicionais para prevenir ataques XSS.