CVE-2026-108388
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Indico w wersjach od 3.3.3 do 3.3.13 niepoprawnie używa użytkownika bieżącej sesji web zamiast użytkownika przekazanego do Contribution.can_manage przy sprawdzaniu dziedziczonego uprawnienia do zarządzania wkładem w wydarzeniu. Użytkownik o niskich uprawnieniach może nakłonić uprzywilejowanego użytkownika do żądania spreparowanego eksportu wkładu, powodując zapisanie adresów e-mail prelegentów lub autorów oraz wpisów kontroli dostępu w pamięci podręcznej API dostępnej z niższymi uprawnieniami. Problem naprawiono w Indico 3.3.14.
Ocena ryzyka
Może dojść do wycieku adresów e-mail prelegentów i autorów oraz informacji o kontroli dostępu do wkładów, co stanowi naruszenie poufności danych. Ryzyko dotyczy instancji Indico w wersjach 3.3.3–3.3.13.
Rekomendacja
Zaktualizuj Indico do wersji 3.3.14 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji eksportu wkładów oraz monitoruj nietypowe żądania eksportu.
Inne podatności w Indico
Zobacz wszystkie- CVE-2026-107397Średnie
Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.
- CVE-2026-107396Średnie
Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.
- CVE-2026-107395Średnie
W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.
- CVE-2026-107394Średnie
W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.
- CVE-2023-37901Średnie
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Oryginalny opis (angielski, źródło NVD)
Indico is a feature-rich event management system. Indico 3.3.3 through 3.3.13 incorrectly uses the ambient web-session user instead of the user supplied to Contribution.can_manage when checking inherited event contribution-management permission. A low-privileged user can induce a privileged user to request a crafted legacy contribution export and cause speaker or author email addresses and contribution access-control entries to be stored in an API cache entry retrievable with less privilege. This issue was fixed in Indico 3.3.14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS