CVE-2025-13742
Açıklama
pretix tarafından gönderilen e-postalar, müşteri verileriyle doldurulacak yer tutucular kullanabilir. Örneğin, bir e-posta şablonunda {name} kullanıldığında, bu ifade nihai e-postada alıcının adıyla değiştirilir. Katılımcı adı HTML veya Markdown biçimlendirmesi içerdiğinde, bu durum sonuçlanan e-postada HTML olarak işleniyordu. Bu sayede bir kullanıcı, kötü niyetle biçimlendirilmiş bir isim aracılığıyla bağlantılar veya diğer biçimlendirilmiş metinler enjekte edebiliyordu. pretix, izin verilen HTML etiketleri için katı bir izin listesi yaklaşımı uyguladığından, bu durum XSS veya benzeri tehlikeli saldırı zincirleri için kötüye kullanılamazdı. Ancak, kullanıcı tarafından sağlanan içeriğin güvenilir ve inandırıcı görünmesini sağlayacak şekilde e-postaları manipüle etmek için kullanılabilir ve bu da kimlik avı (phishing) amacıyla suistimal edilebilir.
Nasıl düzeltilir
- pretix pretix2025.7.2 ya da sonraki bir sürüm
- pretix2025.7.3, 2025.8.2, 2025.9.2, 2025.7.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pretix pretix | 1.0.0 ≤ v < 2025.7.2, 2025.8.0, 2025.9.0 | 2025.7.2 |
| pretixPyPI | 1.0.0 ≤ v < 2025.7.3, 2025.8.0 ≤ v < 2025.8.2, 2025.9.0 ≤ v < 2025.9.2, 1.0.0 ≤ v < 2025.7.2 | 2025.7.3, 2025.8.2, 2025.9.2, 2025.7.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.