JVNDB-2026-007273

pretix GmbHのDouble Opt In Step等の複数製品における動的変数の評価に関する脆弱性

pretixから送信されるメールでは、顧客データに置き換え可能なプレースホルダーを利用できます。例えば、メールテンプレート内で{name}が使われると、最終的なメールでは購入者の名前に置き換わります。この仕組みにはセキュリティに関わるバグが含まれていました。特別に細工されたプレースホルダー名（例：{{event.__init__.__code__.co_filename}}）を使用することで、pretixシステムに関する情報を抽出できました。そのため、メールテンプレートを制御できる権限を持つ攻撃者（通常はpretixバックエンドの全ユーザー）は、データベースのパスワードやAPIキーを含むシステム構成の機密情報を取得できてしまいました。pretixにはこのような悪意あるプレースホルダーの使用を防ぐ仕組みがありますが、コードのミスにより、このプラグインでは完全には効果的ではありませんでした。念のため、pretix.cfgファイルに含まれるすべてのパスワードおよびAPIキーのローテーションを推奨します。

pretix GmbH

• Double Opt In Step 1.3.2 未満
• pretix 4.16.0 以上 2026.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

pretix GmbH

• pretix GmbH : Security release 2026.1.1 of pretix  pretix  Reinventing ticket sales for conferences, festivals, exhibitions, ...

1. 動的変数の評価(CWE-627) [その他]

1. CVE-2026-2451

1. National Vulnerability Database (NVD) : CVE-2026-2451

• [2026年03月16日]
    掲載