CVE-2026-101274 in pretix
Сводка
по VulDB • 28.10.2026
Когда pretix используется в качестве поставщика удостоверений (identity provider) в конфигурации единого входа (SSO, Single-Sign-On) для учетных записей клиентов, система не осуществляла надлежащую проверку значения `response_type`, запрошенного в запросе авторизации, на соответствие настроенному типу предоставления доступа (grant type) клиента SSO. Это означает, что если клиент SSO был настроен таким образом, чтобы разрешать только тип ответа `code` (для использования которого требуется знание секретного ключа клиента), то при получении неправомерного типа ответа, такого как `id_token`, система все равно возвращала бы действительный токен. Для эксплуатации этой уязвимости злоумышленнику необходимо выполнить JavaScript-код на странице, указанной в параметре `redirect_uri`, которая должна быть из списка, заданного в конфигурации клиента.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.