CVE-2025-53640 in Indico
Сводка
по VulDB • 24.06.2026
Indico — это система управления мероприятиями, использующая Flask-Multipass, систему аутентификации с поддержкой нескольких бэкендов для фреймворка Flask. Начиная с версии 2.2 и вплоть до версии 3.3.7 включительно конечная точка (endpoint), предназначенная для отображения сведений о пользователях, указанных в определенных полях (например, в списках управления доступом — ACL), могла быть использована не по назначению для массовой выгрузки базовой информации о пользователях (такой как имя, аффилированность и адрес электронной почты). Проблема исправлена в версии 3.3.7. Владельцам инстансов, позволяющих всем создавать учетные записи, которые хотят действительно ограничить доступ к этим данным пользователей, следует рассмотреть возможность ограничения поиска пользователей только для менеджеров. В качестве временного решения (workaround) возможно ограничение доступа к затронутым конечным точкам (например, в конфигурации веб-сервера), однако это приведет к поломке определенных полей форм, которые больше не смогут отображать сведения о пользователях, указанных в этих полях, поэтому настоятельно рекомендуется выполнить обновление.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.