CVE-2026-107397
ŚrednieCVSS 4.4Streszczenie
Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce innych użytkowników w kontekście domeny Indico, co może prowadzić do kradzieży sesji lub danych uwierzytelniających.
Rekomendacja
Zaktualizuj Indico do wersji 3.3.13 lub nowszej, która zawiera poprawkę tego problemu.
Inne podatności w Indico
Zobacz wszystkie- CVE-2026-107396Średnie
Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.
- CVE-2026-107395Średnie
W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.
- CVE-2026-107394Średnie
W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.
- CVE-2023-37901Średnie
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Oryginalny opis (angielski, źródło NVD)
Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Prior to 3.3.13, users who can create content, including speakers who can create minutes, can store crafted HTML in event minutes. When concurrent edits are made to the same minutes, the minute editor conflict UI can execute attacker-controlled script in the viewer's browser in the Indico origin. This issue is fixed in version 3.3.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS