CVE-2026-13225

Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.

Gdy pretix jest używany jako dostawca tożsamości w konfiguracji Single-Sign-On (SSO) dla kont klientów, system nieprawidłowo walidował żądany parametr `response_type` w żądaniu autoryzacji względem skonfigurowanego typu grantu klienta SSO. Klient skonfigurowany wyłącznie do typu `code` mógł otrzymać ważny token innego typu, np. `id_token`. Wykorzystanie wymaga uruchomienia JavaScriptu na stronie wskazanej przez `redirect_uri` z listy dozwolonych w konfiguracji klienta.

Niektóre punkty końcowe API pozwalały na tworzenie płatności za zamówienia odwołujących się do karty podarunkowej przy użyciu wewnętrznego, automatycznie zwiększanego identyfikatora. Identyfikator ten nie był sprawdzany, co pozwalało tworzyć płatności odwołujące się do kart podarunkowych innych organizatorów i uzyskać ich sekret. Karta nie jest w tym przypadku obciążana, ale wywołanie zwrotu płatności pozwala zwiększyć wartość karty podarunkowej.

Mechanizm wiążący pliki generowane podczas procesu shreddingu z metodą uwierzytelniania nie działa poprawnie, a ten sam token sesji jest używany dla wszystkich użytkowników API opartych na tokenach. Jest to podobny problem do naprawionego w wersji 2026.7.1, który został pominięty podczas tworzenia poprawki. Ponieważ pliki są oznaczone losowo generowanymi UUID i istnieją tylko przez jeden dzień, ryzyko jest praktycznie znikome, ale dodany mechanizm ochrony staje się bezużyteczny.

W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.

Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.

E-maile wysyłane przez pretix mogą używać placeholderów wypełnianych danymi klienta. Jeśli nazwa uczestnika zawierała formatowanie HTML lub Markdown, było ono renderowane jako HTML w wynikowym e-mailu, co pozwalało użytkownikowi wstrzyknąć linki lub inny sformatowany tekst poprzez złośliwie sformatowaną nazwę. Ponieważ pretix stosuje ścisłą listę dozwolonych tagów HTML, nie można tego wykorzystać do XSS, ale może służyć do manipulacji e-mailami w celu phishingu.