PT-2026-35069 · Pretalx · Pretalx

Markfijneman · Publicado 2026-04-18 · Atualizado 2026-04-24 · CVE-2026-41426

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions pretalx versões anteriores a 2026.1.0

Description Um invasor não autenticado pode enviar e-mails renderizados em HTML arbitrários a partir do endereço do remetente configurado de uma instância pretalx. Isso é feito incorporando sintaxe de link markdown ou HTML malformada em um marcador de posição de modelo controlado pelo usuário, como o nome de exibição da conta. Um vetor de exploração principal envolve o fluxo de redefinição de senha, onde um invasor registra uma conta com um nome malicioso e dispara uma redefinição de senha para o endereço de e-mail de uma vítima. Como o e-mail é enviado do endereço do remetente legítimo, ele passa pelas validações SPF, DKIM e DMARC, facilitando ataques de phishing.

Recommendations Atualizar para a versão 2026.1.0.

Correção

Improper Encoding or Escaping of Output

XSS

Enumeração de Fraquezas

CWE-116

CWE-79

Identificadores relacionados

CVE-2026-41426

GHSA-JM8C-9F3J-4378

PYSEC-2026-109

Produtos afetados

Pretalx

Referências · 7

• https://github.com/pretalx/pretalx/security/advisories/GHSA-jm8c-9f3j-4378 · Aviso do Fabricante
• https://github.com/pretalx/pretalx · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pretalx/PYSEC-2026-109.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2026-109 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41426 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jm8c-9f3j-4378 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2047798567130316867 · Publicação no Twitter