CVE-2026-2451 in pretix-doistep
الملخص
بحسب VulDB • 08/05/2026
يمكن أن تستخدم رسائل البريد الإلكتروني المرسلة بواسطة pretix علامات تبديل (placeholders) يتم ملؤها ببيانات العملاء. على سبيل المثال، عند استخدام {name} في قالب بريد إلكتروني، سيتم استبدالها باسم المشتري في البريد الإلكتروني النهائي. احتوت هذه الآلية على خطأ ذي صلة بالأمن:
كان من الممكن استخراج معلومات حول نظام pretix من خلال أسماء علامات تبديل مُصممة خصيصاً مثل {{event.__init__.__code__.co_filename}}. وبهذه الطريقة، يمكن لمهاجم لديه القدرة على التحكم في قوالب البريد الإلكتروني (عادةً كل مستخدم في واجهة pretix الخلفية) استرداد معلومات حساسة من تكوين النظام، بما في ذلك حتى كلمات مرور قاعدة البيانات أو مفاتيح واجهة برمجة التطبيقات (API). يتضمن pretix آليات لمنع استخدام علامات التبديل الخبيثة هذه، ولكن بسبب خطأ في الكود، لم تكن فعالة بالكامل لهذا البرنامج المساعد (plugin).
حذراً، نوصي بتدوير جميع كلمات المرور ومفاتيح API الموجودة في ملف pretix.cfg الخاص بك.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.