Indico divulgue des fichiers locaux résultant en exécution de code à distance via une injection LaTeX

Un attaquant peut exploiter cette vulnérabilité en utilisant des fragments LaTeX spécialement conçus pour contourner le mécanisme de protection de Indico. Cela permet la lecture de fichiers locaux sur le serveur, compromettant potentiellement des informations sensibles telles que des mots de passe, des clés API ou des données de configuration. De plus, l'attaquant peut exécuter du code arbitraire avec les privilèges de l'utilisateur exécutant Indico, ce qui pourrait conduire à une prise de contrôle complète du serveur. Cette vulnérabilité est particulièrement préoccupante car elle peut être exploitée sans authentification, ce qui augmente considérablement la surface d'attaque.

Organizations using Indico for event management, particularly those relying on server-side LaTeX rendering for document generation or display, are at risk. This includes academic institutions, research organizations, and conference organizers who may be running Indico on shared hosting environments or legacy infrastructure.

• linux / server:

journalctl -u indico | grep -i "latex"

• python:

import os
with open('/opt/indico/indico.conf', 'r') as f:
    if 'XELATEX_PATH' in f.read():
        print('XELATEX_PATH is set - vulnerability may be present')

• generic web:

curl -I http://your-indico-server/some/latex/endpoint

• generic web: Inspect Indico access logs for requests containing unusual or obfuscated LaTeX code.

1. 2026-03-23Disclosure

   disclosure

1. Réservé2026-03-17
2. Publiée2026-03-23
3. Modifiée2026-03-25
4. EPSS mis à jour2026-03-31

La mitigation principale consiste à mettre à jour Indico vers la version 3.3.12 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, désactiver temporairement le rendu LaTeX côté serveur en supprimant ou en commentant la variable XELATEX_PATH dans le fichier indico.conf peut réduire le risque. Surveiller les journaux d'accès et d'erreurs pour détecter des tentatives d'exploitation suspectes, en particulier celles impliquant des fragments LaTeX inhabituels. Après la mise à jour, vérifiez que le rendu LaTeX fonctionne correctement et qu'il n'y a pas de régressions.