pretix 缺失授权检查及支付验证漏洞 (CVE-2026-57532/CVE-2026-18029)

漏洞概述 1. 漏洞 #1: 事件快速设置视图中的缺失授权检查 [LOW] - CVE ID: CVE-2026-57532 - 描述: 在创建事件后的“快速设置”视图中，用户可以在几次点击内设置事件的关键部分。该视图未正确检查用户是否有权限更改给定事件的配置。攻击者可以利用此漏洞，通过向同一事件发送恶意请求来创建产品、配额、设置银行转账组织或连接Stripe账户，即使他们只有只读访问权限。 - 严重性评级: 低。由于此漏洞只能由组织内的用户利用，并且仅在完全未配置的事件上才可能被利用，因此评估为低严重性。 2. 漏洞 #2: pretix-girosolution 中支付状态验证不足 [MEDIUM] - CVE ID: CVE-2026-18029 - 描述: 与GiroCheckout的支付集成未正确验证支付状态响应。攻击者可以使用成功的支付状态响应从一个支付中获取数据，并将其提供给系统以进行不同的支付，从而获得多个有效票证，而只需一次支付。 - 严重性评级: 中等。由于没有数据泄露，大规模利用的可能性较低，因此评估为中等严重性。 影响范围 漏洞 #1: 所有当前支持的版本（除以下列出的修复版本外）均受影响。 漏洞 #2: 所有当前支持的版本（除以下列出的修复版本外）均受影响。 修复方案 固定版本: - pretix 2026.6.1 - pretix 2026.5.4 - pretix 2026.4.6 - pretix-girosolution 1.0.1（企业插件） 建议: - 强烈建议用户尽快更新到上述修复版本。 - 对于使用 pretix 托管服务的客户，漏洞已经修复，无需采取额外行动。 - 建议用户定期运行最新版本的 pretix，因为每个版本都包含有用的和重要的错误修复，即使它们不是安全相关的。 其他信息 报告来源: - 漏洞 #1 由 dizconnetz 报告。 - 漏洞 #2 由内部发现。 联系信息: - 如有任何安全问题或疑问，请联系 security@pretix.eu。 总结 本次安全更新涉及两个漏洞，分别涉及事件配置和支付状态验证。建议用户尽快更新到指定版本以确保系统安全。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

pretix 缺失授权检查及支付验证漏洞 (CVE-2026-57532/CVE-2026-18029)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！