Średnia

pretalx mail templates vulnerable to email injection via unescaped user-controlled placeholders

Ujawniono: 18.04.2026
Aktualizacja: 11.10.2026 12:19

An unauthenticated attacker can send arbitrary HTML-rendered emails from a pretalx instance's configured sender address by embedding malformed HTML or markdown link syntax in a user-controlled template placeholder such as the account display name. The most direct vector is the password-reset flow: the attacker registers an account with a malicious name, enters the victim's email address, and triggers a password reset. The resulting email is delivered from the event's legitimate sender address and passes SPF/DKIM/DMARC validation, making it a ready-made phishing vector.

The same class of bug affects every mail template that interpolates a user-controlled placeholder (speaker name, proposal title, biography, question answers, etc.), including organiser-triggered emails such as acceptance/rejection notifications.

Credits

Thanks go to Mark Fijneman for finding and reporting a subset of this issue, which alerted us to the wider vulnerability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	pretalx	< 2026.1.0	2026.1.0

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-116, CWE-79
Platforma: Python (PyPI)
Paczka: pretalx
Ujawniono: 18.04.2026
Aktualizacja: 11.10.2026 12:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-109 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-jm8c-9f3j-4378 - CC BY 4.0

Historia podatności: pretalx

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 04.2023 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2
Średnia 2

Ujawnienia w latach

2023: 2
2024: 0
2025: 0
2026: 2

18.04.2026

pretalx vulnerable to stored cross-site scripting in organizer search typeahead

Wysoka · 8.7 CVE-2026-41241 < 2026.1.0 2026.1.0
18.04.2026

pretalx mail templates vulnerable to email injection via unescaped user-controlled placeholders ten wpis

Średnia · 6.1 CVE-2026-41426 < 2026.1.0 2026.1.0
20.04.2023

pretalx 2.3.1 before 2.3.2 allows path traversal in HTML export (a non-default feature). Organizers can trigger the overwriting (with the standard pretalx 404 page content) of an arbitrary file.

Średnia · 4.3 CVE-2023-28458 >= 2.3.1, < 2.3.2 2.3.2
20.04.2023

pretalx 2.3.1 before 2.3.2 allows path traversal in HTML export (a non-default feature). Users were able to upload crafted HTML documents that trigger the reading of arbitrary files.

Wysoka · 6.5 CVE-2023-28459 >= 2.3.1, < 2.3.2 2.3.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację