CVE-2026-25738

Indico, Flask üçün çoxbekendli autentifikasiya sistemi olan Flask-Multipass istifadə edən tədbirlərin idarə edilməsi sistemidir. 3.3.10 versiyasından əvvəlki versiyalar server tərəfli sorğu saxtakarlığına (SSRF) qarşı həssasdır. Indico müxtəlif yerlərdə istifadəçilər tərəfindən təmin edilən URL-lərə çıxan sorğular göndərir. Bu, əsasən qəsdəndir və Indico-nun funksionallığının bir hissəsidir, lakin istifadəçilərin localhost və ya bulud metadata son nöqtələri kimi "xüsusi" hədəflərə daxil olmasına heç vaxt icazə vermək məqsədi daşımır. İstifadəçilər yamanı almaq üçün 3.3.10 versiyasına yüksəltmə etməlidirlər. Autentifikasiyasız həssas məlumatları ifşa edən IP ünvanları olmayanlar (adətən Indico-nu AWS-də host etmədikləri üçün) bu problemdən təsirlənmirlər. Yalnız tədbir təşkilatçıları SSRF-in belə bir sorğu tərəfindən qaytarılan məlumatları görmək üçün istifadə edilə biləcəyi son nöqtələrə daxil ola bilərlər. Tədbir təşkilatçılarına güvənən şəxslər üçün risk də çox məhduddur. Əlavə təhlükəsizlik üçün, həm yamanın tətbiqindən əvvəl, həm də sonra, çıxan sorğuları sizin faydalı/zəruri hesab etdiyiniz şəkildə məhdudlaşdıran proksi vasitəsilə yönləndirmək üçün ümumi proksi ilə bağlı mühit dəyişənlərindən (xüsusilə `http_proxy` və `https_proxy`) istifadə etmək olar. Bu mühit dəyişənləri həm indico-uwsgi, həm də indico-celery xidmətlərində təyin edilməlidir.