CVE-2026-107394
ŚrednieCVSS 6.8Streszczenie
W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.
Ocena ryzyka
Organizator wydarzenia może uzyskać dostęp do danych z zabronionych lokalnych zasobów, co może prowadzić do ujawnienia informacji wewnętrznych.
Rekomendacja
Zaktualizuj Indico do wersji 3.3.13 lub nowszej, która naprawia ten przypadek brzegowy.
Inne podatności w Indico
Zobacz wszystkie- CVE-2026-107397Średnie
Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.
- CVE-2026-107396Średnie
Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.
- CVE-2026-107395Średnie
W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.
- CVE-2023-37901Średnie
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Oryginalny opis (angielski, źródło NVD)
Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Prior to 3.3.13, the previous fix for CVE-2026-25738 did not cover an edge case, allowing an event organizer to submit a crafted URL that points to a prohibited local target but is accepted as valid by Indico. The organizer can read data returned by the target through affected Indico features. This issue is fixed in version 3.3.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS