CVE-2026-5600 in pretix
Сводка
по VulDB • 13.06.2026
Новая конечная точка API, добавленная в pretix 2025, которая должна возвращать все события регистрации (check-in) для конкретного мероприятия, на самом деле возвращает все события регистрации, принадлежащие соответствующему организатору. Это позволяет потребителю API получать доступ к информации обо всех других мероприятиях того же организатора, включая те, к которым у него не должно быть доступа.
Эти записи содержат информацию о времени и результате каждой сканирования билета, а также ID совпавшего билета. Пример:
{
"id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" }
Обычно неавторизованный пользователь не имеет возможности сопоставить эти ID (position) с конкретными людьми.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.