McGill UniversityのLORIS (Longitudinal Online Research and Imaging System)におけるオープンリダイレクトの脆弱性
| Title |
McGill UniversityのLORIS (Longitudinal Online Research and Imaging System)におけるオープンリダイレクトの脆弱性
|
| Summary |
LORIS（Longitudinal Online Research and Imaging System）は、神経画像研究のためのデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン27.0.3および28.0.1以前では、LORISへのログイン時に、リダイレクトパラメータがLORIS内で有効な値かどうかを検証していませんでした。そのため、第三者が悪意のあるリダイレクトパラメータを含むリンクをユーザーに渡すと、ユーザーが任意のURLに強制的に訪問させられる可能性がありました。この脆弱性は、バージョン27.0.3および28.0.1で修正されています。
|
| Possible impacts |
当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 9, 2026, midnight |
| Registration Date |
April 23, 2026, 10:11 a.m. |
| Last Update |
April 23, 2026, 10:11 a.m. |
|
CVSS3.0 : 警告
|
| Score |
6.1
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Affected System
| McGill University |
|
LORIS (Longitudinal Online Research and Imaging System) 27.0.3 未満
|
|
LORIS (Longitudinal Online Research and Imaging System) 28.0.0
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月23日]
掲載 |
April 23, 2026, 10:11 a.m. |
NVD Vulnerability Information
CVE-2026-39985
| Summary |
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. Prior to 27.0.3 and 28.0.1, the redirect parameter upon login to LORIS was not validating the value of the redirect as being within LORIS, which could be used to trick users into visiting arbitrary URLs if they are given a link with a third party redirect parameter. This vulnerability is fixed in 27.0.3 and 28.0.1.
|
| Publication Date |
April 10, 2026, 3:17 a.m. |
| Registration Date |
April 15, 2026, 11:34 a.m. |
| Last Update |
April 22, 2026, 9:24 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:mcgill:loris:*:*:*:*:*:*:*:* |
|
|
|
27.0.3 |
| cpe:2.3:a:mcgill:loris:28.0.0:*:*:*:*:*:*:* |
|
|
|
|
Related information, measures and tools
Common Vulnerabilities List