CVE-2026-101274
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Gdy pretix jest używany jako dostawca tożsamości w konfiguracji Single-Sign-On (SSO) dla kont klientów, system nieprawidłowo walidował żądany parametr `response_type` w żądaniu autoryzacji względem skonfigurowanego typu grantu klienta SSO. Klient skonfigurowany wyłącznie do typu `code` mógł otrzymać ważny token innego typu, np. `id_token`. Wykorzystanie wymaga uruchomienia JavaScriptu na stronie wskazanej przez `redirect_uri` z listy dozwolonych w konfiguracji klienta.
Ocena ryzyka
Atakujący mogą uzyskać ważne tokeny niezgodne z zamierzoną konfiguracją klienta SSO, co może prowadzić do nieautoryzowanego dostępu do kont klientów. Ryzyko jest ograniczone koniecznością wykonania JavaScriptu na dozwolonym adresie przekierowania.
Rekomendacja
Zaktualizuj pretix do wersji zawierającej poprawkę walidacji `response_type`. Przejrzyj konfiguracje klientów SSO i upewnij się, że dozwolone adresy `redirect_uri` są ściśle ograniczone.
Inne podatności w pretix
Zobacz wszystkie- CVE-2026-57533Niskie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.
- CVE-2026-13225Średnie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.
- CVE-2026-101273Średnie
Niektóre punkty końcowe API pozwalały na tworzenie płatności za zamówienia odwołujących się do karty podarunkowej przy użyciu wewnętrznego, automatycznie zwiększanego identyfikatora. Identyfikator ten nie był sprawdzany, co pozwalało tworzyć płatności odwołujące się do kart podarunkowych innych organizatorów i uzyskać ich sekret. Karta nie jest w tym przypadku obciążana, ale wywołanie zwrotu płatności pozwala zwiększyć wartość karty podarunkowej.
- CVE-2026-101272Niskie
Mechanizm wiążący pliki generowane podczas procesu shreddingu z metodą uwierzytelniania nie działa poprawnie, a ten sam token sesji jest używany dla wszystkich użytkowników API opartych na tokenach. Jest to podobny problem do naprawionego w wersji 2026.7.1, który został pominięty podczas tworzenia poprawki. Ponieważ pliki są oznaczone losowo generowanymi UUID i istnieją tylko przez jeden dzień, ryzyko jest praktycznie znikome, ale dodany mechanizm ochrony staje się bezużyteczny.
- CVE-2026-13602Wysokie
W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.
- CVE-2026-5600Średnie
Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.
- CVE-2025-13742Średnie
E-maile wysyłane przez pretix mogą używać placeholderów wypełnianych danymi klienta. Jeśli nazwa uczestnika zawierała formatowanie HTML lub Markdown, było ono renderowane jako HTML w wynikowym e-mailu, co pozwalało użytkownikowi wstrzyknąć linki lub inny sformatowany tekst poprzez złośliwie sformatowaną nazwę. Ponieważ pretix stosuje ścisłą listę dozwolonych tagów HTML, nie można tego wykorzystać do XSS, ale może służyć do manipulacji e-mailami w celu phishingu.
Oryginalny opis (angielski, źródło NVD)
When pretix is used as the identity provider in a Single-Sign-On (SSO) setup for customer accounts, the system did not properly validate the `response_type` requested in an authorization request against the configured grant type of the SSO client. This means that if an SSO client was configured to only allow the `code` response type, which requires knowledge of the client secret to use and would wrongfully send a response type like `id_token`, it would receive back a valid token. Exploiting this requires the attacker to run JavaScript on the page specified by `redirect_uri`, which must be from a list specified in the client configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS