🇰🇷 한글 설명
이벤트 관리 시스템인 Indico에서 특정 파일 유형을 자료로 업로드할 때 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 3.3.10 미만 버전이 영향을 받으며, 보안을 위해 해당 버전 이상으로 업데이트가 필요합니다.
💡 쉬운 설명
사용자가 올린 파일에 악성 코드를 숨겨 다른 사용자의 브라우저에서 실행되게 만드는 보안 약점입니다. 시스템을 최신 버전으로 업데이트하면 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Versions prior to 3.3.10 are vulnerable to cross-site scripting when uploading certain file types as materials. Users should upgrade to version 3.3.10 to receive a patch. To apply the fix itself updating is sufficient, but to benefit from the strict Content Security Policy (CSP) Indico now applies by default for file downloads, update the webserver config in case one uses nginx with Indico's `STATIC_FILE_METHOD` set to `xaccelredirect`. For further directions, consult the GitHub Security advisory or Indico setup documentation. Some workarounds are available. Use the webserver config to apply a strict CSP for material download endpoints, and/or only let trustworthy users create content (including material uploads, which speakers can typically do as well) on Indico.
📍 영향받는 시스템
Indico versions prior to 3.3.10
⚔️ 공격 벡터
특정 파일 유형을 자료(materials)로 업로드하여 XSS 공격 수행
🛡️ 대응 방법
Indico를 3.3.10 버전 이상으로 업데이트하고, Nginx 사용 시 CSP 설정을 적용하십시오.
🔧 검증 코드
출력된 버전이 3.3.10 미만이면 취약한 상태입니다.
pip show indico 2>/dev/null | grep -E 'Version'