CVE-2025-13742
Təsvir
pretix tərəfindən göndərilən e-poçtlarda müştəri məlumatları ilə doldurulan yer tutuculardan istifadə edilə bilər. Məsələn, e-poçt şablonunda {name} istifadə edildikdə, o, yekun e-poçtda alıcının adı ilə əvəz olunacaqdır. Əgər iştirakçının adı HTML və ya Markdown formatlamasını ehtiva edirsə, bu, nəticədə yaranan e-poçtda HTML kimi render edilirdi. Bu yolla bir istifadəçi bədniyyətli şəkildə formatlanmış ad vasitəsilə linklər və ya digər formatlanmış mətnlər inyeksiya edə bilərdi. pretix icazə verilən HTML teqləri üçün ciddi ağ siyahı yanaşmasını tətbiq etdiyi üçün bundan XSS və ya oxşar təhlükəli hücum zəncirləri üçün istifadə etmək mümkün deyildi. Lakin bu, e-poçtları istifadəçi tərəfindən təmin edilən məzmunun etibarlı və inanılı görünəcəyi şəkildə manipulyasiya etmək üçün istifadə edilə bilər ki, bu da fişinq üçün istismar oluna bilər.
Necə düzəltmək olar
- pretix pretix2025.7.2 və ya daha yeni versiya
- pretix2025.7.3, 2025.8.2, 2025.9.2, 2025.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pretix pretix | 1.0.0 ≤ v < 2025.7.2, 2025.8.0, 2025.9.0 | 2025.7.2 |
| pretixPyPI | 1.0.0 ≤ v < 2025.7.3, 2025.8.0 ≤ v < 2025.8.2, 2025.9.0 ≤ v < 2025.9.2, 1.0.0 ≤ v < 2025.7.2 | 2025.7.3, 2025.8.2, 2025.9.2, 2025.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.