🇰🇷 한글 설명
LORIS(신경영상 연구용 데이터 및 프로젝트 관리 웹 애플리케이션)의 16.0.0 이상 27.0.4 미만, 28.0.0 이상 28.0.2 미만 버전에서 issue_tracker 백엔드가 편집 권한을 올바르게 검증하지 않습니다. 프론트엔드에서는 편집 가능한 이슈를 제한하지만, 인증된 사용자가 권한 밖의 이슈에 대해 백엔드 변경 요청을 보낼 수 있습니다. Issue Tracker를 사용하지 않는 배포는 해당 모듈을 비활성화하여 엔드포인트 접근을 차단할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신에게 수정 권한이 없는 이슈도 서버 요청으로 몰래 수정할 수 있는 취약점입니다. 화면에서는 막혀 있어도 서버에서는 검사하지 않아 발생합니다.
🇺🇸 원문 (English)
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. In versions from 16.0.0 prior to 27.0.4 and from 28.0.0 prior to 28.0.2, the `issue_tracker` backend does not correctly verify edit access permissions, although the frontend restricts which issues a user may edit. An authenticated user can submit backend changes to issues outside the user's permitted edit scope. Deployments that no longer use Issue Tracker can disable the module to remove access to the endpoint. This issue is fixed in versions 27.0.4 and 28.0.2.
📍 영향받는 시스템
LORIS 16.0.0 이상 27.0.4 미만 및 28.0.0 이상 28.0.2 미만
⚔️ 공격 벡터
인증된 일반 사용자가 issue_tracker 엔드포인트에 직접 요청을 보내 권한 밖 이슈를 수정
🛡️ 대응 방법
LORIS를 27.0.4 또는 28.0.2 이상으로 업데이트하거나, Issue Tracker를 사용하지 않으면 해당 모듈을 비활성화
🔧 검증 코드
출력된 버전이 27.0.4 이상(28.x는 28.0.2 이상)이면 패치된 상태이며, 그보다 낮거나 해당 범위 내라면 업데이트 또는 모듈 비활성화가 필요합니다.
grep -rE '^(version|Version)' /var/www/loris/composer.json /var/www/loris/package.json 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access