CVE-2026-13602

Nome do Software Vulnerável e Versões Afetadas pretix versões anteriores a 2026.5.3

Description Uma cadeia de fraquezas permite que um invasor se passe por qualquer usuário no backend e acesse quaisquer dados. O problema originou-se em plugins de integração de pagamento (Stripe, pretix-mollie, pretix-oppwa, pretix-bitpay, pretix-payone, pretix-secuconnect, pretix-sofort e pretix-saferpay) que não validam os parâmetros de sessão além de uma assinatura criptográfica. Um recurso separado usado para gerar links de redirecionamento para ofuscar cabeçalhos Referer utiliza a mesma chave e salt para assinaturas que os plugins de pagamento. Um invasor com acesso a pelo menos um evento no backend pode enganar o sistema para assinar conteúdo arbitrário, que pode então ser injetado no recurso do provedor de pagamento para modificar parâmetros de sessão. Por fim, um recurso administrativo projetado para permitir que usuários ajam em nome de outros para fins de depuração pode ser abusado para alterar a sessão do invasor para qualquer usuário no sistema através da adivinhação de um ID de usuário válido.

Recommendations Atualize para a versão 2026.5.3.