CVE-2026-5600

pretix 2025 sürümünde tanıtılan ve belirli bir etkinliğin tüm giriş (check-in) olaylarını döndürmesi gereken yeni bir API uç noktası, aslında ilgili organizatöre ait tüm giriş olaylarını döndürmektedir. Bu durum, bir API kullanıcısının aynı organizatör altındaki diğer tüm etkinliklerin bilgilerine, erişim yetkisi olmayanlar dahil olmak üzere erişmesine olanak tanır. Bu kayıtlar; her bilet taramasının zamanı ve sonucu ile eşleşen biletin kimliğini içeren bilgiler barındırmaktadır. Örnek: { "id": 123, "successful": true, "error_reason": null, "error_explanation": null, "position": 321, "datetime": "2020-08-23T09:00:00+02:00", "list": 456, "created": "2020-08-23T09:00:00+02:00", "auto_checked_in": false, "gate": null, "device": 1, "device_id": 1, "type": "entry" } Yetkisiz bir kullanıcının genellikle bu kimlikleri (position) tekil kişilerle yeniden eşleştirme imkanı yoktur.