PT-2026-31303 · Pretix · Pretix

Pratik Karan · Publicado 2026-04-08 · Atualizado 2026-04-12 · CVE-2026-5600

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.5

Média

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:H

Name of the Vulnerable Software and Affected Versions pretix versão 2025

Description Um novo endpoint da API no pretix 2025 retorna incorretamente todos os eventos de check-in pertencentes ao organizador, em vez do evento específico. Isso permite que um consumidor da API acesse informações de todos os eventos sob o mesmo organizador, mesmo aqueles aos quais não deveria ter acesso. Os registros contêm informações sobre o horário e o resultado de cada leitura de ingressos, bem como o ID do ingresso correspondente. A resposta da API inclui detalhes como id, successful, error reason, position, datetime, list, created, auto checked in, gate, device, device id e type.

Recommendations Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida temporária, restrinja o acesso ao endpoint da API afetado.

Correção

Enumeração de Fraquezas

CWE-653

Identificadores relacionados

CVE-2026-5600

GHSA-WR8Q-C73G-M7GP

PYSEC-2026-111

Produtos afetados

Pretix

Referências · 9

• https://github.com/pretix/pretix · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pretix/PYSEC-2026-111.yaml · Nota
• https://pretix.eu/about/en/blog/20260408-release-2026-3-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wr8q-c73g-m7gp · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-111 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-5600 · Nota de Segurança
• https://twitter.com/cyberbivash/status/2041864651751801080 · Publicação no Twitter
• https://t.me/CVEtracker/50054 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2043295661987069993 · Publicação no Twitter