CVE-2026-2415 in pretix
Riassunto
di VulDB • 21/06/2026
Le email inviate da pretix possono utilizzare segnaposto che verranno compilati con i dati del cliente. Ad esempio, quando viene utilizzato {name} in un modello di email, questo verrà sostituito con il nome dell'acquirente per l'email finale. Questo meccanismo presentava due bug rilevanti per la sicurezza:
* Era possibile esfiltrare informazioni sul sistema pretix tramite nomi di segnaposto appositamente creati, come {{event.__init__.__code__.co_filename}}. In questo modo, un attaccante con la capacità di controllare i modelli di email (di solito ogni utente del backend di pretix) poteva recuperare informazioni sensibili dalla configurazione del sistema, incluse persino le password del database o le chiavi API. pretix include meccanismi per prevenire l'utilizzo di tali segnaposto malevoli; tuttavia, a causa di un errore nel codice, questi non erano pienamente efficaci per l'oggetto dell'email.
* I segnaposto negli oggetti e nei corpi in testo semplice delle email venivano valutati erroneamente due volte. Di conseguenza, se la prima valutazione di un segnaposto conteneva nuovamente un segnaposto, questo secondo segnaposto veniva renderizzato. Ciò consente il rendering di segnaposto controllati dall'acquirente del biglietto, sfruttando quindi il primo problema come acquirente del biglietto. Fortunatamente, l'unico segnaposto controllabile dall'acquirente disponibile in pretix per impostazione predefinita (che non è convalidato in modo da prevenire il problema) è {invoice_company}, che è molto insolito (ma non impossibile) da trovare in un modello di oggetto dell'email. Oltre ad ampliare la superficie di attacco del primo problema, questo scenario potrebbe teoricamente anche far trapelare informazioni su un ordine a uno dei partecipanti all'interno di tale ordine. Tuttavia, consideriamo anche questo scenario molto improbabile in condizioni tipiche.
Per precauzione, si consiglia di ruotare tutte le password e le chiavi API contenute nel file pretix.cfg https://docs.pretix.eu/self-hosting/config/ .
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.