Vulnerabilidad en Indico (CVE-2026-25738)

Gravedad CVSS v4.0:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

19/02/2026

Última modificación:

26/02/2026

Descripción

Indico es un sistema de gestión de eventos que utiliza Flask-Multipass, un sistema de autenticación multi-backend para Flask. Las versiones anteriores a la 3.3.10 son vulnerables a la falsificación de petición del lado del servidor. Indico realiza peticiones salientes a URLs proporcionadas por el usuario en varios lugares. Esto es en su mayoría intencional y parte de la funcionalidad de Indico, pero nunca se pretende que los usuarios accedan a objetivos &#39;especiales&#39; como localhost o puntos finales de metadatos en la nube. Los usuarios deben actualizar a la versión 3.3.10 para recibir un parche. Aquellos que no tienen IPs que exponen datos sensibles sin autenticación (típicamente porque no alojan Indico en AWS) no se ven afectados. Solo los organizadores de eventos pueden acceder a los puntos finales donde se podría usar SSRF para ver realmente los datos devueltos por dicha petición. Para aquellos que confían en sus organizadores de eventos, el riesgo también es muy limitado. Para seguridad adicional, tanto antes como después de aplicar el parche, también se pueden usar las variables de entorno comunes relacionadas con el proxy (en particular `http_proxy` y `https_proxy`) para forzar que las peticiones salientes pasen por un proxy que limite las peticiones de la manera que se considere útil/necesaria. Estas variables de entorno deberían configurarse tanto en los servicios indico-uwsgi como indico-celery.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.90 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0

6.90

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno