CVE-2026-34985 是 LORIS (Longitudinal Online Research and Imaging System) 媒体模块中的一个文件访问控制漏洞。该漏洞允许攻击者如果知道文件名，则访问他们不应该访问的文件，从而可能导致敏感数据泄露。该漏洞影响 LORIS 版本 16.1.0 到 28.0.1 之间，包括 28.0.0。该漏洞已在 LORIS 27.0.3 和 28.0.1 版本中修复。
CVE-2026-34985 影响 Loris，一个用于神经影像研究的数据和项目管理的自托管 Web 应用程序。该漏洞存在于媒体模块中，前端正确过滤了用户不应访问的文件。但是，后端没有强制执行这些访问检查。这使得攻击者，如果知道受限文件的名称，可以访问该文件，绕过前端保护。此漏洞的 CVSS 评分为 6.3，表明存在中等风险。受影响的版本范围从 16.1.0 到 27.0.3 之前和 28.0.1。神经影像研究敏感数据的泄露可能导致严重后果。
了解 Loris 系统中文件名称的攻击者可以利用此漏洞。无需进行身份验证即可利用此漏洞，但攻击者必须知道他们尝试访问的文件的确切名称。利用可以通过对文件执行直接 HTTP 请求来实现，如果服务器配置为允许对文件执行直接访问，则可以实现。利用的复杂性较低，因为它只需要了解文件名和用于发送 HTTP 请求的工具。利用的可能性取决于 Loris 系统的网络暴露程度和用户对安全的意识。
Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, deployments using older versions of LORIS (16.1.0–>= 28.0.0, < 28.0.1) are vulnerable. Organizations with sensitive research data or those relying on LORIS for critical workflows should prioritize remediation.
• php: Examine LORIS application logs for unusual file access attempts, particularly those involving filenames that should be restricted. Use grep to search for patterns related to unauthorized file access within the logs.
• generic web: Monitor web server access logs for requests to files that are not publicly accessible. Look for patterns suggesting attempts to access files by directly specifying their names.
• database (mysql): If LORIS stores file metadata in a database, query the database for user access permissions and compare them to actual file access attempts.
disclosure
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
此漏洞的解决方案是将 Loris 更新到 27.0.3 或更高版本，或 28.0.1 版本。这些版本包含修复程序，可确保后端强制执行与前端相同的访问检查，从而防止未经授权的文件访问。建议尽快应用此更新以降低风险。此外，请查看 Loris 中文件和文件夹的权限配置，以确保它们符合贵组织的安全性策略。监控系统日志中是否存在异常访问尝试也有助于检测和响应潜在的利用。
Actualice LORIS a la versión 27.0.3 o superior, o a la versión 28.0.1. Estas versiones incluyen correcciones para evitar el acceso no autorizado a archivos multimedia debido a fallas en las comprobaciones de acceso en el backend.
漏洞分析和关键警报直接发送到您的邮箱。
Loris 的 16.1.0 到 27.0.3 之前和 28.0.1 的版本容易受到此漏洞的影响。
请参阅 Loris 官方文档，了解如何更新到 27.0.3 或更高版本，或 28.0.1 版本。
如果您无法立即更新，请考虑实施额外的安全措施，例如限制网络访问并监控系统日志。
目前没有用于检测此漏洞的特定工具，但建议检查已安装的 Loris 版本。
神经影像研究数据，包括脑部图像、患者数据和相关元数据。
CVSS 向量