Vulnerabilidad en pretix (CVE-2026-2415)

Los correos electrónicos enviados por pretix pueden utilizar marcadores de posición que se llenarán con datos del cliente. Por ejemplo, cuando {name} se usa en una plantilla de correo electrónico, será reemplazado con el nombre del comprador para el correo electrónico final. Este mecanismo contenía dos errores relevantes para la seguridad:<br /> <br /> * Fue posible exfiltrar información sobre el sistema pretix a través de nombres de marcadores de posición especialmente diseñados, como {{event.__init__.__code__.co_filename}}. De esta manera, un atacante con la capacidad de controlar las plantillas de correo electrónico (generalmente cada usuario del backend de pretix) podría recuperar información sensible de la configuración del sistema, incluyendo incluso contraseñas de base de datos o claves API. pretix sí incluye mecanismos para prevenir el uso de tales marcadores de posición maliciosos, sin embargo, debido a un error en el código, no fueron completamente efectivos para el asunto del correo electrónico.<br /> <br /> * Los marcadores de posición en los asuntos y cuerpos de texto plano de los correos electrónicos fueron evaluados erróneamente dos veces. Por lo tanto, si la primera evaluación de un marcador de posición contenía de nuevo un marcador de posición, este segundo marcador de posición era renderizado. Esto permite la renderización de marcadores de posición controlados por el comprador de entradas, y por lo tanto la explotación del primer problema como comprador de entradas. Afortunadamente, el único marcador de posición controlado por el comprador disponible en pretix por defecto (que no está validado de una manera que prevenga el problema) es {invoice_company}, lo cual es muy inusual (pero no imposible) que esté contenido en una plantilla de asunto de correo electrónico. Además de ampliar la superficie de ataque del primer problema, esto podría teóricamente también filtrar información sobre un pedido a uno de los asistentes dentro de ese pedido. Sin embargo, también consideramos este escenario muy improbable bajo condiciones típicas.<br /> <br /> Por precaución, recomendamos que rote todas las contraseñas y claves API contenidas en su archivo pretix.cfg https://docs.pretix.eu/self-hosting/config/.