Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Опубликована

CVE-2026-2452

Unsafe variable evaluation in email templates

Публикация: 16.02.2026·Обновлена: 17.02.2026, 20:06·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Emails sent by pretix can utilize placeholders that will be filled with customer data. For example, when {name} is used in an email template, it will be replaced with the buyer's name for the final email. This mechanism contained a security-relevant bug: It was possible to exfiltrate information about the pretix system through specially crafted placeholder names such as {{event.__init__.__code__.co_filename}}. This way, an attacker with the ability to control email templates (usually every user of the pretix backend) could retrieve sensitive information from the system configuration, including even database passwords or API keys. pretix does include mechanisms to prevent the usage of such malicious placeholders, however due to a mistake in the code, they were not fully effective for this plugin. Out of caution, we recommend that you rotate all passwords and API keys contained in your pretix.cfg https://docs.pretix.eu/self-hosting/config/  file.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

Limit backend access to trusted users, do not use user-controlled variables in the email templates.

CVE Record: rami.io ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

pretix / pretix-newsletter 

{
  "status": "affected",
  "changes": [
    {
      "at": "1.6.3",
      "status": "unaffected"
    }
  ],
  "version": "1.0.0",
  "lessThan": "2.0.0",
  "versionType": "python"
}
{
  "status": "affected",
  "version": "2.0.0",
  "lessThan": "2.0.1",
  "versionType": "python"
}

CVSS: оценки и векторы

CVSS 4.0 · cve7.5
CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/RE:L/U:Red
AV · Вектор атакисеть
AC · Сложность атакивысокая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиинизкие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системывысокое
SC · Конфиденциальность связанной системывысокое
SI · Целостность связанной системывысокое
SA · Доступность связанной системывысокое
E · Eзначение P; см. спецификацию CVSS
RE · REзначение L; см. спецификацию CVSS
U · Uзначение Red; см. спецификацию CVSS

Классы CWE

CWE-627 · Динамическая переменная оценка

Источники и ссылки

Бюллетень вендора · pretix.eu · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:11.688019+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T22:02:53.139193+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T22:02:53.139193+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T22:02:53.139193+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:11.688019+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T22:02:53.139193+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:12
  2. Данные обновлены02.11.2026, 00:10
  3. Данные обновлены31.10.2026, 11:57
  4. Данные обновлены29.10.2026, 12:22
  5. Опубликована29.10.2026, 01:02

Личная заметка и статус

CVE-2026-2452: Unsafe variable evaluation in email templates · CVE Радар