CVE-2026-33046
Açıklama
Indico, Flask için çoklu arka uç kimlik doğrulama sistemi olan Flask-Multipass kullanan bir etkinlik yönetim sistemidir. 3.3.12 öncesindeki sürümlerde, TeXLive'daki güvenlik açıkları ve Indico'nun LaTeX temizleyicisini (sanitizer) atlatmaya izin veren belirsiz LaTeX sözdizimi nedeniyle, yerel dosyaları okuyabilen veya sunucuda Indico'yu çalıştıran kullanıcının yetkileriyle kod yürütebilen özel olarak hazırlanmış LaTeX parçacıklarının kullanılması mümkündür. Sunucu tarafında LaTeX oluşturma işlemi kullanılmıyorsa (yani `indico.conf` dosyasında `XELATEX_PATH` ayarlanmamışsa), bu güvenlik açığının geçerli olmadığına dikkat edilmelidir. En kısa sürede Indico 3.3.12 sürümüne güncellenmesi önerilir. Ayrıca, onu sistemin geri kalanından izole eden konteyner tabanlı LaTeX oluşturucusunun (`podman` kullanarak) etkinleştirilmesi şiddetle tavsiye edilir. Geçici bir çözüm olarak, LaTeX işlevselliğini devre dışı bırakmak için `indico.conf` dosyasındaki `XELATEX_PATH` ayarı kaldırılmalı (veya yorum satırı haline getirilmeli ya da `None` olarak ayarlanmalı) ve `indico-uwsgi` ile `indico-celery` servisleri yeniden başlatılmalıdır.
Nasıl düzeltilir
- cern indico3.3.12 ya da sonraki bir sürüm
- indico3.3.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cern indico | v < 3.3.12 | 3.3.12 |
| indicoPyPI | v < 3.3.12 | 3.3.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.