CVE-2026-2415 in pretix
要約
〜によって VulDB • 2026年06月28日
pretixが送信するメールでは、顧客データで埋められるプレースホルダを使用できます。例えば、メールテンプレート内で{name}が使用されている場合、最終的なメールには購入者の名前に置き換えられます。このメカニズムには2つのセキュリティ関連の脆弱性が含まれていました：
* {{event.__init__.__code__.co_filename}}のような特別に作成されたプレースホルダ名を通じてpretixシステムに関する情報を外部へ漏洩させることが可能でした。これにより、メールテンプレートを制御できる攻撃者（通常はpretixバックエンドのすべてのユーザー）が、データベースパスワードやAPIキーを含むシステムの機密設定情報からデータを取得できました。pretixにはこのような悪意のあるプレースホルダの使用を防ぐためのメカニズムが含まれていますが、コード上のミスにより、メール件名に対して完全に有効ではありませんでした。
* メール件名およびプレーンテキスト本文内のプレースホルダが誤って2回評価されていました。そのため、1回目の評価で生成された結果にさらにプレースホルダが含まれている場合、その2つ目のプレースホルダも展開されてしまいました。これにより、チケット購入者が制御できるプレース霍尔ダーを展開することが可能となり、したがってチケット購入者として最初の脆弱性を悪用できます。幸いにも、pretixのデフォルトで利用可能な購入者制御型のプレースホールダ（この問題を防止する方法で検証されていないもの）は{invoice_company}のみであり、メール件名テンプレートに含まれることは非常に稀ですが不可能ではありません。これにより最初の脆弱性の攻撃対象範囲が拡大するだけでなく、理論的にはその注文内の参加者の一人に対して注文に関する情報が漏洩する可能性もありました。ただし、通常の条件下ではこのシナリオも極めて unlikely と考えています。
慎重を期すため、pretix.cfgファイル（https://docs.pretix.eu/self-hosting/config/）に含まれるすべてのパスワードとAPIキーのローテーションをお勧めします。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.