CVE-2023-37901
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Ocena ryzyka
Ryzyko ataku wzrasta, gdy organizatorzy wydarzeń chcą usunąć podejrzane treści, a atak może być wspierany przez inżynierię społeczną. Użytkownicy powinni jak najszybciej zaktualizować Indico do wersji 3.2.6.
Rekomendacja
Zaleca się aktualizację do Indico 3.2.6. Użytkownicy, którzy nie mogą zaktualizować, powinni ograniczyć uprawnienia do zarządzania kategoriami i przesyłania treści tylko do zaufanych użytkowników.
Inne podatności w Indico
Zobacz wszystkie- CVE-2026-108388Niskie
Indico w wersjach od 3.3.3 do 3.3.13 niepoprawnie używa użytkownika bieżącej sesji web zamiast użytkownika przekazanego do Contribution.can_manage przy sprawdzaniu dziedziczonego uprawnienia do zarządzania wkładem w wydarzeniu. Użytkownik o niskich uprawnieniach może nakłonić uprzywilejowanego użytkownika do żądania spreparowanego eksportu wkładu, powodując zapisanie adresów e-mail prelegentów lub autorów oraz wpisów kontroli dostępu w pamięci podręcznej API dostępnej z niższymi uprawnieniami. Problem naprawiono w Indico 3.3.14.
- CVE-2026-107397Średnie
Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.
- CVE-2026-107396Średnie
Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.
- CVE-2026-107395Średnie
W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.
- CVE-2026-107394Średnie
W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.
Oryginalny opis (angielski, źródło NVD)
Indico is an open source a general-purpose, web based event management tool. There is a Cross-Site-Scripting vulnerability in confirmation prompts commonly used when deleting content from Indico. Exploitation requires someone with at least submission privileges (such as a speaker) and then someone else to attempt to delete this content. Considering that event organizers may want to delete suspicious-looking content when spotting it, there is a non-negligible risk of such an attack to succeed. The risk of this could be further increased when combined with some some social engineering pointing the victim towards this content. Users need to update to Indico 3.2.6 as soon as possible. See the docs for instructions on how to update. Users who cannot upgrade should only let trustworthy users manage categories, create events or upload materials ("submission" privileges on a contribution/event). This should already be the case in a properly-configured setup when it comes to category/event management. Note that a conference doing a Call for Abstracts actively invites external speakers (who the organizers may not know and thus cannot fully trust) to submit content, hence the need to update to a a fixed version ASAP in particular when using such workflows.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS