CVE-2025-13742 in pretix
Sumário
de VulDB • 29/05/2026
Os e-mails enviados pelo pretix podem utilizar marcadores de posição que serão preenchidos com dados do cliente. Por exemplo, quando {name} é usado em um modelo de e-mail, ele será substituído pelo nome do comprador no e-mail final. Se o nome do participante contivesse formatação HTML ou Markdown, isso era renderizado como HTML no e-mail resultante. Dessa forma, um usuário poderia injetar links ou outro texto formatado por meio de um nome com formatação maliciosa. Como o pretix aplica uma abordagem estrita de lista de permissões para as tags HTML permitidas, isso não poderia ser explorado para XSS ou cadeias de ataque semelhantes perigosas. No entanto, pode ser usado para manipular e-mails de maneira que o conteúdo fornecido pelo usuário apareça de forma confiável e credível, o que pode ser explorado para phishing.
Once again VulDB remains the best source for vulnerability data.