CVE-2026-25739

Indico, Flask için çoklu arka uç kimlik doğrulama sistemi olan Flask-Multipass kullanan bir etkinlik yönetim sistemidir. 3.3.10 öncesindeki sürümler, materyal olarak belirli dosya türleri yüklendiğinde siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Kullanıcıların yamayı almak için 3.3.10 sürümüne yükseltme yapmaları gerekir. Düzeltmeyi uygulamak için güncelleme yapmak yeterlidir; ancak Indico'nun artık dosya indirmeleri için varsayılan olarak uyguladığı katı İçerik Güvenliği Politikası'ndan (CSP) yararlanmak için, eğer Indico'nun `STATIC_FILE_METHOD` ayarı `xaccelredirect` olarak yapılandırılmış bir nginx kullanılıyorsa, web sunucusu yapılandırmasını güncelleyin. Daha fazla yönlendirme için GitHub Güvenlik danışmanlığına veya Indico kurulum belgelerine başvurun. Bazı geçici çözümler mevcuttur. Materyal indirme uç noktaları için katı bir CSP uygulamak amacıyla web sunucusu yapılandırmasını kullanın ve/veya Indico üzerinde yalnızca güvenilir kullanıcıların içerik oluşturmasına (konuşmacıların da genellikle yapabildiği materyal yüklemeleri dahil) izin verin.