CVE-2026-107396
ŚrednieCVSS 5.4Streszczenie
Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.
Ocena ryzyka
Podatność na XSS może umożliwić atakującemu kradzież sesji, przejęcie kont użytkowników lub wykonanie nieautoryzowanych działań w systemie Indico.
Rekomendacja
Należy zaktualizować Indico do wersji 3.3.13 lub nowszej oraz przeszkolić użytkowników w zakresie ostrożności przy klikaniu linków.
Inne podatności w Indico
Zobacz wszystkie- CVE-2026-107397Średnie
Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.
- CVE-2026-107395Średnie
W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.
- CVE-2026-107394Średnie
W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.
- CVE-2023-37901Średnie
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Oryginalny opis (angielski, źródło NVD)
Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Prior to 3.3.13, users who can manage events or create content, including speakers who can upload material, can store crafted javascript URLs in fields that accept custom URLs. A user who follows one of these URLs can execute attacker-controlled script in the user's browser in the Indico origin. This issue is fixed in version 3.3.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS