CVE-2026-50165 in alf.io
Zusammenfassung
von VulDB • 09.09.2026
alf.io ist ein Open-Source-Ticketreservierungssystem für Konferenzen, Messen, Workshops und Meetups. Ein Fehler bei der unangemessenen Zugriffskontrolle (Improper Access Control) in Versionen vor 2.0-M5-2605 ermöglicht es einem Organisationsbesitzer, systemweite Konfigurationsgeheimnisse über organisations-/ereignisbezogene „Single Configuration“-Endpunkte auszulesen. Die betroffenen Endpunkte erfordern zwar den Besitz einer Organisation oder eines Ereignisses, akzeptieren jedoch einen beliebigen Konfigurationsschlüssel und geben dann den ersten übereinstimmenden Wert aus einem Lookup zurück, der systemweite Konfigurationen einschließt. Infolgedessen kann ein Organisationsbesitzer Geheimnisse abrufen, die nur für Administratoren bestimmt sind, einschließlich des System-API-Schlüssels, wenn dieser konfiguriert ist. Die Version 2.0-M5-2605 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.