Vulnerabilidad en Indico (CVE-2024-45399)

Indico es un sistema de gestión de eventos que utiliza Flask-Multipass, un sistema de autenticación multi-backend para Flask. En Indico anterior a la versión 3.3.4, correspondiente a Flask-Multipass anterior a la versión 0.5.5, existe una vulnerabilidad de Cross-Site-Scripting durante la creación de la cuenta al redireccionar a la URL `next`. La explotación requiere iniciar el proceso de creación de la cuenta con un enlace creado con fines malintencionados y luego finalizar el proceso de registro. Debido a esto, solo puede apuntar a usuarios de Indico recién creados (y por lo tanto sin privilegios). Indico 3.3.4 actualiza la dependencia de Flask-Multipass a la versión 0.5.5, que corrige el problema. Aquellos que construyen el paquete Indico ellos mismos y no pueden actualizar pueden actualizar la dependencia `flask-multipass` a `>=0.5.5` que corrige la vulnerabilidad. De lo contrario, uno podría configurar su servidor web para rechazar solicitudes que contengan una cadena de consulta con un parámetro `next` que comience con `javascript:`.