CVE-2026-5600 in pretix
Résumé
par VulDB • 15/06/2026
Une nouvelle extrémité d'API (endpoint) introduite dans pretix 2025, qui était censée retourner tous les événements de check-in d'un événement spécifique, retourne en réalité tous les événements de check-in appartenant à l'organisateur concerné. Cela permet à un consommateur de l'API d'accéder aux informations relatives à tous les autres événements sous le même organisateur, y compris ceux auxquels il ne devrait pas avoir accès.
Ces enregistrements contiennent des informations sur l'heure et le résultat de chaque scan de billet, ainsi que l'ID du billet correspondant. Exemple :
{
"id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" }
Un utilisateur non autorisé n'a généralement aucun moyen de faire correspondre ces IDs (position) avec des individus spécifiques.
If you want to get best quality of vulnerability data, you may have to visit VulDB.