CVE-2026-25738

Indico, Flask için çoklu arka uç kimlik doğrulama sistemi olan Flask-Multipass kullanan bir etkinlik yönetim sistemidir. 3.3.10 öncesindeki sürümler sunucu taraflı istek sahteciliği (SSRF) zafiyetine sahiptir. Indico, çeşitli yerlerde kullanıcı tarafından sağlanan URL'lere giden istekler yapar. Bu durum çoğunlukla kasıtlıdır ve Indico'nun işlevselliğinin bir parçasıdır ancak kullanıcıların localhost veya bulut meta veri uç noktaları gibi "özel" hedeflere erişmesine asla izin vermeyi amaçlamamaktadır. Kullanıcılar, yamayı almak için 3.3.10 sürümüne yükseltmelidir. Kimlik doğrulaması olmadan hassas verileri açığa çıkaran IP adreslerine sahip olmayanlar (genellikle Indico'yu AWS üzerinde barındırmadıkları için) etkilenmezler. Yalnızca etkinlik organizatörleri, SSRF'nin böyle bir istek tarafından döndürülen verileri gerçekten görmek için kullanılabileceği uç noktalara erişebilir. Etkinlik organizatörlerine güvenenler için risk oldukça sınırlıdır. Ek güvenlik için, yamanın uygulanmasından önce ve sonra, giden isteklerin faydalı/gerekli gördüğünüz şekilde istekleri kısıtlayan bir proxy üzerinden geçmesini zorlamak için yaygın proxy ile ilgili ortam değişkenleri (özellikle `http_proxy` ve `https_proxy`) kullanılabilir. Bu ortam değişkenlerinin hem indico-uwsgi hem de indico-celery servislerinde ayarlanması gerekir.