CVE-2026-57533
NiskieCVSS 2.1Streszczenie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku phishingowego, w którym użytkownik zostanie przekierowany na spreparowaną stronę podszywającą się pod legalną usługę, co może prowadzić do wyłudzenia danych logowania lub innych poufnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację pretix do najnowszej wersji, która zawiera poprawkę eliminującą możliwość wstrzykiwania złośliwego HTML. Do czasu aktualizacji należy ograniczyć zaufanie do przekierowań zewnętrznych.
Inne podatności w pretix
Zobacz wszystkie- CVE-2026-13225Średnie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.
- CVE-2026-13602Wysokie
W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.
- CVE-2026-5600Średnie
Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.
Oryginalny opis (angielski, źródło NVD)
Malicious HTML content could be injected into the page pretix shows when redirection to an untrusted page occurs. Since this page has a Content-Security-Policy, this can mainly be used for phishing purposes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS