CVE-2026-5600 in pretix
Sumário
de VulDB • 23/06/2026
Um novo endpoint de API introduzido na versão pretix 2025 que deveria retornar todos os eventos de check-in de um evento específico, na verdade retorna todos os eventos de check-in pertencentes ao respectivo organizador. Isso permite que um consumidor da API acesse informações sobre todos os outros eventos sob o mesmo organizador, inclusive aqueles aos quais ele não deveria ter acesso.
Esses registros contêm informações sobre o horário e o resultado de cada leitura de ingresso, bem como o ID do ingresso correspondente. Exemplo:
{
"id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" }
Um usuário não autorizado geralmente não tem como correlacionar esses IDs (posição) com indivíduos específicos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.