PT-2025-29511 · Unknown+1 · Flask-Multipass+1

Rafaelcorvino1 · Publicado 2025-07-14 · Atualizado 2025-09-15 · CVE-2025-53640

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Indico de 2.2 a 3.3.7

Descrição: O Indico é um sistema de gerenciamento de eventos que utiliza o Flask-Multipass, um sistema de autenticação multi-backend para Flask. Um endpoint utilizado para exibir detalhes de usuários listados em determinados campos pode ser usado indevidamente para extrair em massa detalhes básicos do usuário (como nome, afiliação e e-mail).

Recomendações: Atualize para a versão 3.3.7 ou posterior. Considere restringir a pesquisa de usuários a gerentes. Restrinja o acesso aos endpoints afetados na configuração do servidor web.

Exploit

Correção

IDOR

Missing Authorization

Information Disclosure

Enumeração de Fraquezas

CWE-639

CWE-862

CWE-200

Identificadores relacionados

CVE-2025-53640

GHSA-Q28V-664F-Q6WJ

Produtos afetados

Flask-Multipass

Indico

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53640.json · Exploit
• 🔥 https://vicarius.io/vsociety/posts/cve202553640-detect-indico-vulnerability · Exploit
• 🔥 https://vicarius.io/vsociety/posts/cve202553640-mitigate-indico-vulnerability · Exploit
• https://github.com/indico/indico · Nota
• https://github.com/indico/indico/security/advisories/GHSA-q28v-664f-q6wj · Aviso do Fabricante
• https://github.com/indico/indico/releases/tag/v3.3.7 · Nota
• https://github.com/indico/indico/pull/6936/commits/f8583557a3da56aeea8857ae69bf17c9066c95c1 · Nota
• https://twitter.com/PoC_in_Github/status/1946660676434620534 · Publicação no Twitter
• https://t.me/cveNotify/129847 · Publicação no Telegram
• https://t.me/cvetracker/27818 · Publicação no Telegram
• https://t.me/cveNotify/135512 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1944887782494581059 · Publicação no Twitter
• https://twitter.com/akaclandestine/status/1946603520502780379 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-53640 · Nota de Segurança
• https://docs.getindico.io/en/stable/config/settings/#ALLOW_PUBLIC_USER_SEARCH · Nota