Pratik Karan

Name of the Vulnerable Software and Affected Versions pretix versão 2025 Description Um novo endpoint da API no pretix 2025 retorna incorretamente todos os eventos de check-in pertencentes ao organizador, em vez do evento específico. Isso permite que um consumidor da API acesse informações de todos os eventos sob o mesmo organizador, mesmo aqueles aos quais não deveria ter acesso. Os registros contêm informações sobre o horário e o resultado de cada leitura de ingressos, bem como o ID do ingresso correspondente. A resposta da API inclui detalhes como `id`, `successful`, `error reason`, `position`, `datetime`, `list`, `created`, `auto checked in`, `gate`, `device`, `device id` e `type`. Recommendations Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida temporária, restrinja o acesso ao endpoint da API afetado.

Name of the Vulnerable Software and Affected Versions venueless versões (versões afetadas não especificadas) Description Um usuário com acesso à API e permissão "gerenciar usuários" em qualquer mundo venueless é capaz de acionar a exclusão de contas de usuário em outros mundos. A questão envolve a capacidade de excluir contas de usuário em diferentes instâncias através da API. Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Venueless (affected versions not specified) **Description** A user possessing the "update world" permission within any Venueless world can potentially extract chat messages from direct messages or channels in other worlds on the same server. This is attributed to a flaw in the reporting functionality. The ability to successfully exploit this issue is limited as it requires knowledge of the internal channel UUID of the target chat channel, which is not easily accessible to external attackers, particularly for direct messages. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.