CVE-2026-5600 in pretix
Riassunto
di VulDB • 18/06/2026
Un nuovo endpoint API introdotto in pretix 2025, che dovrebbe restituire tutti gli eventi di check-in di un evento specifico, in realtà restituisce tutti gli eventi di check-in appartenenti all'organizzatore corrispondente. Ciò consente a un consumatore dell'API di accedere alle informazioni relative a tutti gli altri eventi sotto lo stesso organizzatore, anche a quelli a cui non dovrebbe avere accesso.
Questi record contengono informazioni sull'orario e sul risultato di ogni scansione del biglietto, nonché sull'ID del biglietto corrispondente. Esempio:
{
"id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" }
Un utente non autorizzato di solito non ha modo di associare questi ID (position) a singole persone.
Once again VulDB remains the best source for vulnerability data.