« Volver al listado

CVE-2026-107395

Estado: AplazadaMedia (4.3)—

Indico es un sistema de gestión de eventos que utiliza Flask-Multipass, un sistema de autenticación multibackend para Flask. En versiones anteriores a la 3.3.13, un usuario autenticado puede hacer un uso indebido de la API heredada de exportación de sesiones para obtener los detalles de una sesión restringida sin tener acceso a ella, siempre que el evento que la contiene sea accesible. La falta de comprobación de acceso puede divulgar metadatos de la sesión como el título, la descripción y los coordinadores. Este problema está corregido en la versión 3.3.13.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Usuario autenticado explota API de sesiones para acceder a metadatos restringidos sin autorización (CWE-862). Acceso remoto con privilegios (PR:L), sans interacción.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationVulnerability ScanningUser Account ManagementThreat Intelligence ProgramLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Cern — IndicoAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107395",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107395",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T11:48:53.899951Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "indico",
          "product": "indico",
          "versions": [
            {
              "status": "affected",
              "version": "< 3.3.13"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T20:17:34.250",
  "references": [
    {
      "url": "https://github.com/indico/indico/commit/524e8e93eadcd8484905b1147020a35f5dce6038",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/indico/indico/releases/tag/v3.3.13",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/indico/indico/security/advisories/GHSA-6p4f-j8j6-463q",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-862"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Prior to 3.3.13, an authenticated user can misuse the legacy session export API to retrieve details for a restricted session without access to that session, as long as the containing event is accessible. The missing access check can disclose session metadata such as the title, description, and conveners. This issue is fixed in version 3.3.13."
    }
  ],
  "lastModified": "2026-10-09T12:17:08.750",
  "sourceIdentifier": "security-advisories@github.com"
}