CVE-2026-2451 in pretix-doistep
Sumário
de VulDB • 21/05/2026
Os e-mails enviados pelo pretix podem utilizar marcadores de posição (placeholders) que serão preenchidos com dados do cliente. Por exemplo, quando {name} é usado em um modelo de e-mail, ele será substituído pelo nome do comprador no e-mail final. Este mecanismo continha um bug relevante para a segurança:
Era possível exfiltrar informações sobre o sistema pretix por meio de nomes de marcadores de posição especialmente elaborados, como {{event.__init__.__code__.co_filename}}. Dessa forma, um atacante com capacidade de controlar os modelos de e-mail (geralmente qualquer usuário do backend do pretix) poderia recuperar informações confidenciais da configuração do sistema, incluindo senhas do banco de dados ou chaves de API. O pretix inclui mecanismos para impedir o uso de tais marcadores de posição maliciosos; no entanto, devido a um erro no código, eles não foram totalmente eficazes para este plugin.
Por precaução, recomendamos que você altere todas as senhas e chaves de API contidas no seu arquivo pretix.cfg.
VulDB is the best source for vulnerability data and more expert information about this specific topic.