CVE-2026-101272

Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.

Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.

Gdy pretix jest używany jako dostawca tożsamości w konfiguracji Single-Sign-On (SSO) dla kont klientów, system nieprawidłowo walidował żądany parametr `response_type` w żądaniu autoryzacji względem skonfigurowanego typu grantu klienta SSO. Klient skonfigurowany wyłącznie do typu `code` mógł otrzymać ważny token innego typu, np. `id_token`. Wykorzystanie wymaga uruchomienia JavaScriptu na stronie wskazanej przez `redirect_uri` z listy dozwolonych w konfiguracji klienta.

Niektóre punkty końcowe API pozwalały na tworzenie płatności za zamówienia odwołujących się do karty podarunkowej przy użyciu wewnętrznego, automatycznie zwiększanego identyfikatora. Identyfikator ten nie był sprawdzany, co pozwalało tworzyć płatności odwołujące się do kart podarunkowych innych organizatorów i uzyskać ich sekret. Karta nie jest w tym przypadku obciążana, ale wywołanie zwrotu płatności pozwala zwiększyć wartość karty podarunkowej.

W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.

Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.

E-maile wysyłane przez pretix mogą używać placeholderów wypełnianych danymi klienta. Jeśli nazwa uczestnika zawierała formatowanie HTML lub Markdown, było ono renderowane jako HTML w wynikowym e-mailu, co pozwalało użytkownikowi wstrzyknąć linki lub inny sformatowany tekst poprzez złośliwie sformatowaną nazwę. Ponieważ pretix stosuje ścisłą listę dozwolonych tagów HTML, nie można tego wykorzystać do XSS, ale może służyć do manipulacji e-mailami w celu phishingu.