JVNDB-2026-006435

McGill UniversityのLORIS (Longitudinal Online Research and Imaging System)における複数の脆弱性

LORIS（Longitudinal Online Research and Imaging System）は神経画像研究のためのデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン26.0.5、27.0.2、および28.0.0以前のバージョンでは、十分な権限を持つ認証済みユーザーがパストラバーサルの脆弱性を悪用し、サーバー上の任意の場所に悪意のあるファイルをアップロードすることが可能でした。アップロードされたファイルはリモートコード実行（RCE）を達成するために使用される可能性があります。攻撃者は認証され、適切な権限を持っている必要があります。この問題はサーバーが読み取り専用に設定されている場合、リモートコード実行（RCE）は不可能ですが、悪意のあるファイルのアップロードは依然として実行可能です。この問題はLORISのバージョン26.0.5以降、27.0.2以降、および28.0.0以降で修正されています。回避策として、LORIS管理者はメディアモジュールを使用していない場合、それを無効化することが推奨されます。

McGill University

• LORIS (Longitudinal Online Research and Imaging System) 26.0.5 未満
• LORIS (Longitudinal Online Research and Imaging System) 27.0.0 以上 27.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remote code execution in LORIS media module  Advisory  aces/Loris  GitHub

1. パス・トラバーサル(CWE-22) [NVD評価]
2. パス・トラバーサル(CWE-22) [その他]
3. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2026-26984

1. National Vulnerability Database (NVD) : CVE-2026-26984
2. 関連文書 : Release LORIS Release v27.0.2  aces/Loris  GitHub
3. 関連文書 : Release LORIS Release v26.0.5  aces/Loris  GitHub

• [2026年03月09日]
    掲載