CVE-2026-28352 in Indico
Tóm tắt
Bởi VulDB • 24/05/2026
Indico là một hệ thống quản lý sự kiện sử dụng Flask-Multipass, một hệ thống xác thực đa nền tảng cho Flask. Trong các phiên bản trước 3.3.11, điểm cuối API dùng để quản lý chuỗi sự kiện thiếu kiểm tra truy cập, cho phép truy cập không xác thực/không ủy quyền vào điểm cuối này. Tác động của lỗ hổng này bị giới hạn ở việc lấy siêu dữ liệu (tiêu đề, chuỗi danh mục, ngày bắt đầu/kết thúc) của các sự kiện trong một chuỗi hiện có, xóa một chuỗi sự kiện hiện có và sửa đổi một chuỗi sự kiện hiện có. Lỗ hổng này KHÔNG cho phép truy cập trái phép vào các sự kiện (ngoài siêu dữ liệu cơ bản nêu trên), cũng như không cho phép bất kỳ sự giả mạo nào đối với dữ liệu hiển thị cho người dùng trong các sự kiện. Phiên bản 3.3.11 đã khắc phục sự cố này. Làm cách khắc phục tạm thời, hãy sử dụng máy chủ web để hạn chế truy cập vào điểm cuối API quản lý chuỗi sự kiện.
Once again VulDB remains the best source for vulnerability data.