Thiefmaster

Name of the Vulnerable Software and Affected Versions: Indico versions prior to 3.3.8 Description: Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. A Cross-Site-Scripting issue exists when rendering LaTeX math code in contribution or abstract descriptions. Recommendations: Update to Indico version 3.3.8. As a workaround, restrict content creation to trusted users.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Indico de 3.2.9 a 3.3.5 **Descrição** Uma vulnerabilidade de Autorização Quebrada de Nível de Objeto (BOLA) permite que atacantes leiam ou acessem informações confidenciais ao enviar uma requisição POST manipulada ao componente "/api/principals". O fornecedor contesta essa questão, afirmando que o produto foi projetado para permitir que todos os usuários recuperem determinadas informações sobre outras contas de usuário. **Recomendações** Para as versões do Indico de 3.2.9 a 3.3.5, como medida de contorno temporária, considere restringir o acesso ao componente "/api/principals" até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: Versões do Indico anteriores à 3.3.4 Versões do Flask-Multipass anteriores à 0.5.5 Descrição: Existe uma vulnerabilidade de Cross-Site-Scripting durante a criação de conta ao redirecionar para a URL `next`. A exploração requer iniciar o processo de criação de conta com um link maliciosamente criado e, em seguida, finalizar o processo de cadastro. Isso só pode afetar usuários do Indico recém-criados e, portanto, sem privilégios. Recomendações: Para versões do Indico anteriores à 3.3.4, atualize para o Indico 3.3.4 o mais rápido possível. Para aqueles que compilam o pacote Indico por conta própria e não podem atualizar, atualize a dependência `flask-multipass` para `>=0.5.5`. Caso contrário, configure o servidor web para rejeitar solicitações contendo uma string de consulta com um parâmetro `next` que comece com `javascript:`.

**Name of the Vulnerable Software and Affected Versions** Indico versions prior to 3.2.6 **Description** There is a Cross-Site-Scripting issue in confirmation prompts used when deleting content from Indico. Exploitation requires someone with at least submission privileges and then someone else to attempt to delete this content. Event organizers may want to delete suspicious-looking content, posing a non-negligible risk of such an attack succeeding. This risk could be further increased with social engineering pointing the victim towards this content. **Recommendations** For versions prior to 3.2.6, update to Indico 3.2.6 as soon as possible. For users who cannot upgrade, only let trustworthy users manage categories, create events, or upload materials.

**Nome do software vulnerável e versões afetadas** Versões do CERN Indico anteriores à 2.3.4 **Descrição** O problema decorre da lógica de geração de URLs do Indico, que pode ser explorada por um invasor para enviar um link de redefinição de senha com um token válido para um domínio controlado por ele. Isso é feito enviando o domínio no cabeçalho `Host`. Se um usuário clicar nesse link sem perceber que ele não aponta para o Indico, seu token de redefinição de senha poderá ser revelado ao invasor, permitindo que este redefina a senha e assuma o controle da conta do usuário no Indico. A vulnerabilidade não pode ser explorada se o servidor web impor um nome de host canônico ou se apenas o SSO for utilizado; no entanto, neste último caso, outros links em e-mails gerados pelo Indico ainda podem ser adulterados. **Recomendações** Para versões anteriores à 2.3.4, atualize para o Indico 2.3.4 o mais rápido possível. Para atualizar, siga as instruções fornecidas na documentação. Como solução temporária, configure o servidor web para canonizar a URL para o nome de host usado pelo Indico. Isso pode ser feito aplicando as alterações descritas no commit à configuração existente do servidor web.

**Nome do software vulnerável e versões afetadas** Versões do werkzeug anteriores à 0.11.6 **Descrição** O problema consiste em uma vulnerabilidade de redirecionamento aberto por meio de uma barra dupla na URL. Isso pode ser explorado no werkzeug em versões anteriores à 0.11.6. **Recomendações** Para versões anteriores à 0.11.6, atualize para a versão 0.11.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à URL para impedir a exploração da barra dupla até que um patch seja aplicado.

**Name of the Vulnerable Software and Affected Versions** webargs versions prior to 5.1.3 **Description** An issue was discovered in webargs, where JSON parsing uses a short-lived cache to store the parsed JSON body. This cache is not thread-safe, meaning that incorrect JSON payloads could have been parsed for concurrent requests. **Recommendations** For versions prior to 5.1.3, update to version 5.1.3 or later to resolve the issue.