CVE-2026-101273
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Niektóre punkty końcowe API pozwalały na tworzenie płatności za zamówienia odwołujących się do karty podarunkowej przy użyciu wewnętrznego, automatycznie zwiększanego identyfikatora. Identyfikator ten nie był sprawdzany, co pozwalało tworzyć płatności odwołujące się do kart podarunkowych innych organizatorów i uzyskać ich sekret. Karta nie jest w tym przypadku obciążana, ale wywołanie zwrotu płatności pozwala zwiększyć wartość karty podarunkowej.
Ocena ryzyka
Atakujący może uzyskać sekrety kart podarunkowych innych organizatorów i sztucznie zwiększać ich wartość, co prowadzi do strat finansowych i naruszenia izolacji danych między organizatorami. Problem dotyczy integralności systemu płatności i kart podarunkowych.
Rekomendacja
Zaktualizuj pretix do wersji zawierającej poprawkę walidacji identyfikatorów kart podarunkowych w punktach końcowych API. Monitoruj nietypowe operacje na kartach podarunkowych i zwrotach płatności.
Inne podatności w pretix
Zobacz wszystkie- CVE-2026-57533Niskie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.
- CVE-2026-13225Średnie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.
- CVE-2026-101274Średnie
Gdy pretix jest używany jako dostawca tożsamości w konfiguracji Single-Sign-On (SSO) dla kont klientów, system nieprawidłowo walidował żądany parametr `response_type` w żądaniu autoryzacji względem skonfigurowanego typu grantu klienta SSO. Klient skonfigurowany wyłącznie do typu `code` mógł otrzymać ważny token innego typu, np. `id_token`. Wykorzystanie wymaga uruchomienia JavaScriptu na stronie wskazanej przez `redirect_uri` z listy dozwolonych w konfiguracji klienta.
- CVE-2026-101272Niskie
Mechanizm wiążący pliki generowane podczas procesu shreddingu z metodą uwierzytelniania nie działa poprawnie, a ten sam token sesji jest używany dla wszystkich użytkowników API opartych na tokenach. Jest to podobny problem do naprawionego w wersji 2026.7.1, który został pominięty podczas tworzenia poprawki. Ponieważ pliki są oznaczone losowo generowanymi UUID i istnieją tylko przez jeden dzień, ryzyko jest praktycznie znikome, ale dodany mechanizm ochrony staje się bezużyteczny.
- CVE-2026-13602Wysokie
W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.
- CVE-2026-5600Średnie
Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.
- CVE-2025-13742Średnie
E-maile wysyłane przez pretix mogą używać placeholderów wypełnianych danymi klienta. Jeśli nazwa uczestnika zawierała formatowanie HTML lub Markdown, było ono renderowane jako HTML w wynikowym e-mailu, co pozwalało użytkownikowi wstrzyknąć linki lub inny sformatowany tekst poprzez złośliwie sformatowaną nazwę. Ponieważ pretix stosuje ścisłą listę dozwolonych tagów HTML, nie można tego wykorzystać do XSS, ale może służyć do manipulacji e-mailami w celu phishingu.
Oryginalny opis (angielski, źródło NVD)
Some of our API endpoints allowed to create order payments referencing a gift card by using the auto-incremented internal ID. This ID was not checked and allowed creating payments that reference gift cards from different organizers and thereby obtaining their secret. The gift card is not charged in this case, but by then triggering a refund on the payment, one can increase the value of the gift card.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS