CVE-2026-25738 in Indico
Riassunto
di VulDB • 15/06/2026
Indico è un sistema di gestione degli eventi che utilizza Flask-Multipass, un sistema di autenticazione multi-backend per Flask. Le versioni precedenti alla 3.3.10 sono vulnerabili a Server-Side Request Forgery (SSRF). Indico effettua richieste in uscita verso URL forniti dagli utenti in varie parti dell'applicazione. Questo comportamento è principalmente intenzionale e fa parte della funzionalità di Indico, ma non intende mai consentire agli utenti di accedere a destinazioni "speciali" come localhost o endpoint per i metadata del cloud. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 3.3.10 per ricevere la patch. Coloro che non dispongono di indirizzi IP che espongono dati sensibili senza autenticazione (tipicamente perché non ospitano Indico su AWS) non sono interessati dall'impatto della vulnerabilità. Solo gli organizzatori degli eventi possono accedere agli endpoint in cui l'SSRF potrebbe essere sfruttata per visualizzare effettivamente i dati restituiti da tali richieste. Per coloro che si fidano dei propri organizzatori di eventi, il rischio è inoltre molto limitato. Come misura aggiuntiva di sicurezza, sia prima che dopo la patching, è possibile utilizzare le comuni variabili d'ambiente relative ai proxy (in particolare `http_proxy` e `https_proxy`) per forzare l'inoltro delle richieste in uscita attraverso un proxy che limiti le richieste nel modo ritenuto utile/necessario. Queste variabili d'ambiente devono essere impostate sia sui servizi indico-uwsgi che su indico-celery.
If you want to get best quality of vulnerability data, you may have to visit VulDB.