CVE-2024-45399

Indico, Flask üçün çoxbekendli autentifikasiya sistemi olan Flask-Multipass istifadə edən bir tədbirlərin idarə edilməsi sistemidir. Versiya 3.3.4-dən əvvəlki Indico versiyalarında (Flask-Multipass-in 0.5.5 versiyasından əvvəlki versiyalarına uyğun olaraq), `next` URL-nə yönləndirmə zamanı hesabın yaradılması prosesində saytlararası skriptinq (XSS) zəifliyi mövcuddur. Zəifliyin istismarı üçün hesab yaratma prosesinin bədniyyətli şəkildə hazırlanmış link vasitəsilə başladılması və daha sonra qeydiyyat prosesinin tamamlanması tələb olunur. Buna görə də, bu yalnız yeni yaradılmış (və buna görə də imtiyazsız) Indico istifadəçilərini hədəf ala bilər. Indico 3.3.4 versiyasında Flask-Multipass asılılığı problemi həll edən 0.5.5 versiyasına yüksəldilmişdir. Indico paketini özləri quran və yeniləyə bilməyən şəxslər, zəifliyi aradan qaldırmaq üçün `flask-multipass` asılılığını `>=0.5.5` versiyasına yeniləyə bilərlər. Əks halda, veb serveri tərkibində `javascript:` ilə başlayan `next` parametrli sorğu sətiri olan sorğuları rədd etmək üçün konfiqurasiya etmək olar.