Title: LORIS de aces, Description: LORIS (Longitudinal Online Research and Imaging System) es una aplicación web autoalojada que proporciona gestión de datos y proyectos para la investigación en neuroimagen. Antes de 27.0.3 y 28.0.1, se ha identificado una inyección SQL en algunas secciones de código para la ventana emergente de comentarios de MRI del navegador de imágenes. Los atacantes pueden usar la inyección SQL para acceder/modificar datos en el servidor. Esta vulnerabilidad está corregida en 27.0.3 y 28.0.1.

Title: LORIS de aces, Description: LORIS (Longitudinal Online Research and Imaging System) es una aplicación web autoalojada que proporciona gestión de datos y proyectos para la investigación en neuroimagen. Antes de 27.0.3 y 28.0.1, se ha identificado una inyección SQL en algunas secciones de código para la ventana emergente de comentarios de MRI del navegador de imágenes. Los atacantes pueden usar la inyección SQL para acceder/modificar datos en el servidor. Esta vulnerabilidad está corregida en 27.0.3 y 28.0.1.

Title: LORIS de aces, Description: LORIS (Longitudinal Online Research and Imaging System) es una aplicación web autoalojada que proporciona gestión de datos y proyectos para la investigación en neuroimagen. Antes de 27.0.3 y 28.0.1, se ha identificado una inyección SQL en algunas secciones de código para la ventana emergente de comentarios de MRI del navegador de imágenes. Los atacantes pueden usar la inyección SQL para acceder/modificar datos en el servidor. Esta vulnerabilidad está corregida en 27.0.3 y 28.0.1.

{"timestamp":"2026-04-08T19:23:56.598329Z","id":"CVE-2026-33350","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"aces","product":"Loris","versions":[{"version":"< 27.0.3","status":"affected"},{"version":">= 28.0.0, < 28.0.1","status":"affected"}]}]

OR
          *cpe:2.3:a:mcgill:loris:28.0.0:*:*:*:*:*:*:*
          *cpe:2.3:a:mcgill:loris:*:*:*:*:*:*:*:* versions up to (excluding) 27.0.3

GitHub, Inc.: https://github.com/aces/Loris/security/advisories/GHSA-9r29-6jgc-3ggh Types: Vendor Advisory

LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. Prior to 27.0.3 and 28.0.1, a SQL injection has been identified in some code sections for the MRI feedback popup window of the imaging browser. Attackers can use SQL ingestion to access/alter data on the server. This vulnerability is fixed in 27.0.3 and 28.0.1.

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CWE-89

https://github.com/aces/Loris/security/advisories/GHSA-9r29-6jgc-3ggh