CVE-2026-2452
Açıklama
pretix tarafından gönderilen e-postalar, müşteri verileriyle doldurulacak yer tutucular kullanabilir. Örneğin, bir e-posta şablonunda {name} kullanıldığında, nihai e-posta için bu ifade alıcının adıyla değiştirilir. Bu mekanizma güvenlik açısından kritik bir hata içeriyordu: {{event.__init__.__code__.co_filename}} gibi özel olarak hazırlanmış yer tutucu isimleri aracılığıyla pretix sistemi hakkında bilgi sızdırmak mümkündü. Bu sayede, e-posta şablonlarını kontrol etme yetkisine sahip bir saldırgan (genellikle her pretix backend kullanıcısı), veri tabanı parolaları veya API anahtarları da dahil olmak üzere sistem yapılandırmasından hassas bilgileri elde edebilirdi. pretix, bu tür kötü amaçlı yer tutucuların kullanımını önlemek için mekanizmalar içermektedir; ancak koddaki bir hata nedeniyle bunlar bu eklenti için tam olarak etkili olmamıştır. Tedbir amacıyla, pretix.cfg https://docs.pretix.eu/self-hosting/config/ dosyanızda bulunan tüm parolaların ve API anahtarlarının yenilenmesini öneririz.
Nasıl düzeltilir
- pretix pretix2026.1.1 ya da sonraki bir sürüm
- pretix newsletters1.6.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pretix pretix | 4.16.0 ≤ v < 2026.1.1 | 2026.1.1 |
| pretix newsletters | v < 1.6.3, 2.0.0 | 1.6.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.