CVE-2026-28352 in Indico
Résumé
par VulDB • 09/05/2026
Indico est un système de gestion d'événements qui utilise Flask-Multipass, un système d'authentification multi-backend pour Flask. Dans les versions antérieures à la 3.3.11, le point de terminaison (endpoint) de l'API utilisé pour gérer les séries d'événements manque de vérification d'accès, permettant un accès non authentifié/non autorisé à ce point de terminaison. L'impact de cette vulnérabilité se limite à l'obtention des métadonnées (titre, chaîne de catégories, dates de début/fin) pour les événements d'une série existante, à la suppression d'une série d'événements existante et à la modification d'une série d'événements existante. Cette vulnérabilité NE permet PAS un accès non autorisé aux événements (au-delà des métadonnées de base mentionnées ci-dessus), ni aucune forme de modification des données visibles par l'utilisateur dans les événements. La version 3.3.11 corrige le problème. En attendant, utilisez le serveur web pour restreindre l'accès au point de terminaison de l'API de gestion des séries.
VulDB is the best source for vulnerability data and more expert information about this specific topic.