Vulnerabilidad en indico (CVE-2026-33046)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

23/03/2026

Última modificación:

24/03/2026

Descripción

Indico es un sistema de gestión de eventos que utiliza Flask-Multipass, un sistema de autenticación multi-backend para Flask. En versiones anteriores a la 3.3.12, debido a vulnerabilidades en TeXLive y sintaxis LaTeX oscura que permitía eludir el saneador LaTeX de Indico, es posible utilizar fragmentos LaTeX especialmente diseñados que pueden leer archivos locales o ejecutar código con los privilegios del usuario que ejecuta Indico en el servidor. Tenga en cuenta que si la renderización LaTeX del lado del servidor no está en uso (es decir, &#39;XELATEX_PATH&#39; no se configuró en &#39;indico.conf&#39;), esta vulnerabilidad no se aplica. Se recomienda actualizar a Indico 3.3.12 lo antes posible. También se recomienda encarecidamente habilitar el renderizador LaTeX en contenedores (utilizando &#39;podman&#39;), que lo aísla del resto del sistema. Como solución alternativa, elimine la configuración de &#39;XELATEX_PATH&#39; de &#39;indico.conf&#39; (o coméntela o configúrela como &#39;None&#39;) y reinicie los servicios &#39;indico-uwsgi&#39; e &#39;indico-celery&#39; para deshabilitar la funcionalidad LaTeX.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.70

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto