Veille sécuritéFrontend
P4Moyenne
Dans certaines configurations SSO où pretix agit comme fournisseur d’identité pour des comptes clients, la réponse d’autorisation ne validait pas le `response_type` demandé par rapport au type de flux autorisé pour le client. L’exploitation nécessite notamment que l’attaquant puisse exécuter du JavaScript sur une page correspondant à une URI de redirection configurée ; les données fournies ne précisent pas de version corrective.
JavaScript
IdentifiantCVE-2026-101274
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-101274
Analyse technique
Un client configuré pour autoriser uniquement le type de réponse `code` pouvait recevoir un jeton valide après une requête utilisant un autre type, sous les conditions d’exploitation décrites.
Impact, versions et correctif
Événement datéFiche NVD publiée et substantiellement mise à jour le 2026-10-28 ; les données du candidat documentent le défaut de validation et ses prérequis.
ImpactObtention indue d’un jeton dans les conditions SSO vulnérables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-28T11:17:13.577Z
Mise à jour2026-10-28T15:24:56.033Z
Sources
Priorisation DFS : P4 · 1 source(s).