CVE-2025-13742
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
E-maile wysyłane przez pretix mogą używać placeholderów wypełnianych danymi klienta. Jeśli nazwa uczestnika zawierała formatowanie HTML lub Markdown, było ono renderowane jako HTML w wynikowym e-mailu, co pozwalało użytkownikowi wstrzyknąć linki lub inny sformatowany tekst poprzez złośliwie sformatowaną nazwę. Ponieważ pretix stosuje ścisłą listę dozwolonych tagów HTML, nie można tego wykorzystać do XSS, ale może służyć do manipulacji e-mailami w celu phishingu.
Ocena ryzyka
Atakujący może wstrzyknąć linki lub sformatowany tekst do wiadomości e-mail, co może być wykorzystane do phishingu i oszukania odbiorców. Może to podważyć zaufanie do komunikacji z organizacją.
Rekomendacja
Zaktualizuj pretix do wersji zawierającej poprawkę (skontaktuj się z dostawcą w celu uzyskania informacji o wersji). Do czasu aktualizacji rozważ wyłączenie renderowania HTML w szablonach e-mail lub zaostrzenie walidacji danych użytkowników.
Inne podatności w pretix
Zobacz wszystkie- CVE-2026-57533Niskie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.
- CVE-2026-13225Średnie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.
- CVE-2026-101274Średnie
Gdy pretix jest używany jako dostawca tożsamości w konfiguracji Single-Sign-On (SSO) dla kont klientów, system nieprawidłowo walidował żądany parametr `response_type` w żądaniu autoryzacji względem skonfigurowanego typu grantu klienta SSO. Klient skonfigurowany wyłącznie do typu `code` mógł otrzymać ważny token innego typu, np. `id_token`. Wykorzystanie wymaga uruchomienia JavaScriptu na stronie wskazanej przez `redirect_uri` z listy dozwolonych w konfiguracji klienta.
- CVE-2026-101273Średnie
Niektóre punkty końcowe API pozwalały na tworzenie płatności za zamówienia odwołujących się do karty podarunkowej przy użyciu wewnętrznego, automatycznie zwiększanego identyfikatora. Identyfikator ten nie był sprawdzany, co pozwalało tworzyć płatności odwołujące się do kart podarunkowych innych organizatorów i uzyskać ich sekret. Karta nie jest w tym przypadku obciążana, ale wywołanie zwrotu płatności pozwala zwiększyć wartość karty podarunkowej.
- CVE-2026-101272Niskie
Mechanizm wiążący pliki generowane podczas procesu shreddingu z metodą uwierzytelniania nie działa poprawnie, a ten sam token sesji jest używany dla wszystkich użytkowników API opartych na tokenach. Jest to podobny problem do naprawionego w wersji 2026.7.1, który został pominięty podczas tworzenia poprawki. Ponieważ pliki są oznaczone losowo generowanymi UUID i istnieją tylko przez jeden dzień, ryzyko jest praktycznie znikome, ale dodany mechanizm ochrony staje się bezużyteczny.
- CVE-2026-13602Wysokie
W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.
- CVE-2026-5600Średnie
Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.
Oryginalny opis (angielski, źródło NVD)
Emails sent by pretix can utilize placeholders that will be filled with customer data. For example, when {name} is used in an email template, it will be replaced with the buyer's name for the final email. If the name of the attendee contained HTML or Markdown formatting, this was rendered as HTML in the resulting email. This way, a user could inject links or other formatted text through a maliciously formatted name. Since pretix applies a strict allow list approach to allowed HTML tags, this could not be abused for XSS or similarly dangerous attack chains. However, it can be used to manipulate emails in a way that makes user-provided content appear in a trustworthy and credible way, which can be abused for phishing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS