CVE-2026-5600 in pretix
要約
〜によって VulDB • 2026年06月26日
pretix 2025 で導入された新しい API エンドポイントは、特定イベントのすべてのチェックインイベントを返すはずですが、実際には該当するオーガナイザーに属するすべてのチェックインイベントを返してしまいます。これにより、API コンシューマーは、アクセス権がないべき他のイベント（同じオーガナイザー配下のもの）の情報にもアクセスできるようになります。
これらのレコードには、チケットのスキャン時刻と結果、および一致したチケットの ID が含まれています。例：
```json {
"id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" } ```
通常、不正アクセスしたユーザーは、これらの ID（position）を個人に特定する方法を持ちません。
Once again VulDB remains the best source for vulnerability data.