CVE-2026-13602
Açıklama
Üründe, bir saldırganın arka uçta herhangi bir kullanıcı olmasına ve tüm verilere erişmesine olanak tanıyabilecek birden fazla zayıflığın birleşiminden oluşan bir zincir tespit edilmiştir: * Stripe (çekirdek sistemde yer alan), pretix-mollie, pretix-oppwa, pretix-bitpay, pretix-payone, pretix-secuconnect, pretix-sofort ve pretix-saferpay ödeme entegrasyon eklentileri, izole çerezlere sahip bir sekmeden (örneğin pretix widget'ında olduğu gibi) yeni bir sekmeye oturum parametrelerinin taşınması için tasarlanmış bir kod yolu içermektedir. Bu amaçla, bir dizi oturum parametresi kriptografik olarak imzalanmakta ve ardından yeni sekmeye bir URL parametresi olarak aktarılmaktadır. Eklentiler, kriptografik imzanın geçerli olması dışında oturum parametreleri üzerinde başka bir doğrulama yapmamaktadır. Bu durum, ilgili eklentinin kapsamı dışındaki hiçbir oturum parametresinin ayarlanamayacağının kesin olarak doğrulanmasıyla bugün yayınlanan sürümlerle düzeltilmiştir. * Çekirdek sistemdeki ilgisiz bir özellik, URL'lerdeki gizli bilgilerin sızmasını önlemek amacıyla giden bağlantılar için Referer başlıklarını gizleyen yönlendirme bağlantıları oluşturmak için kullanılır. Bu yönlendirme sayfası da kriptografik olarak imzalanmış parametreler gerektirir. Maalesef, imza için ödeme entegrasyon eklentilerindeki yukarıda belirtilen özellikle aynı anahtarı ve salt değerini kullanmaktadır. Arka uçtaki en az bir etkinliğe erişimi olan motivasyon sahibi bir saldırgan, özel olarak hazırlanmış bağlantılar kullanarak sistemi rastgele içerikleri kriptografik olarak imzalamaya zorlayabilir. Önceki sorunla birleştiğinde saldırgan, imzalı parametreleri ödeme sağlayıcılarının özelliğine enjekte ederek kullanıcı oturumunda rastgele parametreler ayarlamak ve değiştirmek için bunu kullanabilir. Bu durum, her eklenti ve özellik için imzada farklı salt değerleri kullanılarak bugün yayınlanan sürümlerle düzeltilmiştir. * Çekirdek sistemdeki üçüncü ve ilgisiz bir özellik, yönetici kullanıcıların çoğunlukla hata ayıklama amacıyla başka bir kullanıcı adına işlem yapması için kullanılır. Bir oturuma rastgele parametreler ekleyebilen bir saldırgan, geçerli bir kullanıcı kimliğini tahmin ederek bu özelliği kötüye kullanabilir ve kendi oturumunu gerçek kullanıcısından sistemdeki herhangi bir kullanıcıya dönüştürebilir. Bu durum, geçiş yapılacak kullanıcının oturumunda tahmin edilemez bilgilerin bulunmasının zorunlu kılınmasıyla bugün yayınlanan sürümle düzeltilmiştir.
Nasıl düzeltilir
- pretix pretix2026.3.5, 2026.4.5, 2026.5.3 ya da sonraki bir sürüm
- pretix pretix-mollie2.5.7 ya da sonraki bir sürüm
- pretix pretix-oppwa1.4.4 ya da sonraki bir sürüm
- pretix pretix-bitpay1.5.3 ya da sonraki bir sürüm
- pretix pretix-payone1.4.3 ya da sonraki bir sürüm
- pretix pretix-secuconnect1.0.4 ya da sonraki bir sürüm
- pretix pretix-sofort1.4.2 ya da sonraki bir sürüm
- pretix pretix-saferpay1.6.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pretix pretix | 4.14.0 ≤ v < 2026.3.5, 2026.4.0 ≤ v < 2026.4.5, 2026.5.0 ≤ v < 2026.5.3 | 2026.3.5, 2026.4.5, 2026.5.3 |
| pretix pretix-mollie | v < 2.5.7 | 2.5.7 |
| pretix pretix-oppwa | v < 1.4.4 | 1.4.4 |
| pretix pretix-bitpay | v < 1.5.3 | 1.5.3 |
| pretix pretix-payone | v < 1.4.3 | 1.4.3 |
| pretix pretix-secuconnect | v < 1.0.4 | 1.0.4 |
| pretix pretix-sofort | v < 1.4.2 | 1.4.2 |
| pretix pretix-saferpay | v < 1.6.3 | 1.6.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.