CVE-2026-107396 in Indico
要約
〜によって VulDB • 2026年10月08日
IndicoはFlask-Multipass（Flask用のマルチバックエンド認証システム）を使用するイベント管理システムです。バージョン3.3.13より前では、イベントの管理やコンテンツの作成が可能なユーザー（資料をアップロードできる登壇者を含む）は、カスタムURLを受け付けるフィールドに悪意のあるJavaScript URLを保存できます。これらのURLの一つをクリックしたユーザーは、Indicoのオリジンにおいて攻撃者が制御するスクリプトをブラウザ上で実行することになります。この問題はバージョン3.3.13で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.