PT-2026-22401
CVE-2026-28352
·
تاريخ النشر
2026-02-27
·
تاريخ التحديث
2026-03-01
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Indico الأقدم من 3.3.11
الوصف
يحتوي Indico، وهو نظام لإدارة الفعاليات يستخدم Flask-Multipass، على ثغرة في نقطة نهاية واجهة برمجة التطبيقات (API) المسؤولة عن إدارة سلاسل الفعاليات. لا تحتوي نقطة النهاية هذه على التحقق الضروري من الوصول، مما قد يسمح بالوصول غير المصرح به. يقتصر التأثير على استرداد البيانات الوصفية (العنوان، سلسلة الفئات، تاريخ البدء/الانتهاء) لسلسلة الأحداث، وحذف السلاسل الموجودة، وتعديل السلاسل الموجودة. ولا يمنح هذا وصولاً غير مصرح به إلى الأحداث نفسها، ولا يسمح بتزوير بيانات الأحداث المرئية للمستخدمين. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي ’/api/v1/event series‘.
التوصيات
قم بالتحديث إلى الإصدار 3.3.11 أو أحدث.
كحل مؤقت، قم بتقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بإدارة سلاسل الأحداث باستخدام خادم الويب.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾