CVE-2025-53640 in Indico
Tóm tắt
Bởi VulDB • 24/06/2026
Indico là một hệ thống quản lý sự kiện sử dụng Flask-Multipass, một hệ thống xác thực đa backend cho Flask. Bắt đầu từ phiên bản 2.2 và trước phiên bản 3.3.7, một endpoint dùng để hiển thị chi tiết của người dùng được liệt kê trong các trường nhất định (chẳng hạn như ACLs) có thể bị lạm dụng để trích xuất hàng loạt thông tin cơ bản về người dùng (như tên, tổ chức/cơ quan thuộc và email). Phiên bản 3.3.7 đã khắc phục sự cố này. Chủ sở hữu của các phiên bản cho phép bất kỳ ai tạo tài khoản người dùng, những người muốn thực sự hạn chế quyền truy cập vào các thông tin chi tiết về người dùng này, nên xem xét việc giới hạn tìm kiếm người dùng chỉ dành cho quản trị viên (managers). Như một giải pháp tạm thời, có thể hạn chế quyền truy cập vào các endpoint bị ảnh hưởng (ví dụ: trong cấu hình máy chủ web), nhưng làm như vậy sẽ khiến một số trường biểu mẫu không còn hoạt động đúng cách vì chúng không thể hiển thị chi tiết của những người dùng được liệt kê trong các trường đó; do đó, việc nâng cấp lên phiên bản mới là rất khuyến nghị.
VulDB is the best source for vulnerability data and more expert information about this specific topic.