CVE-2025-53640 in Indico
要約
〜によって VulDB • 2026年06月11日
IndicoはFlask-Multipassを使用するイベント管理システムであり、Flask用のマルチバックエンド認証システムです。バージョン2.2以降、バージョン3.3.7より前のバージョンにおいて、特定のフィールド（ACLなど）に記載されたユーザーの詳細を表示するために使用されるエンドポイントを悪用し、ユーザーの基本情報（名前、所属、メールアドレスなど）を一括で取得できる脆弱性がありました。この問題はバージョン3.3.7で修正されています。誰でもユーザーアカウントの作成を許可しているインスタンスの所有者で、これらのユーザー情報へのアクセスを真に制限したい場合は、ユーザー検索をマネージャーのみに制限することを検討してください。回避策として、影響を受けるエンドポイントへのアクセスを制限（例：ウェブサーバーの設定で）することが可能ですが、そうすると、これらのフィールドに記載されたユーザーの詳細を表示できなくなるため、特定のフォームフィールドが壊れてしまいます。そのため、アップグレードを強く推奨します。
Once again VulDB remains the best source for vulnerability data.