abraxas/cve-2026-82226Proof-of-Concept und Lab für CVE-2026-82226, eine unauthentifizierte PHP-Object-Injection in Tickera <= 3.6.0.2 über POST /cart/, mit Docker-Reproduktion und Patch-Anleitung.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-82226
Tickera 3.6.0.2 — Tickera
Nicht authentifizierte PHP-Object-Injection in Tickera <= 3.6.0.2.
| CVE | CVE-2026-82226 · CVE.org |
| CWE | CWE-502 |
| CVSS | Kritisch: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produkt | Tickera |
| Betroffen | alle Versionen bis einschließlich 3.6.0.2 |
| Gepatcht | 3.6.0.3 und später |
| Auth | keine (siehe Source Map) |
| Lab | nur 127.0.0.1 · Vendor-/Client-Disclosure-Paket, kein Scanner |
PHP Object Injection ist maybe_unserialize auf Checkout-Owner-Meta in create_order, keine ajax action=. HTTP sind die Cart- + Process-Payment-Seiten. PHP-Methodennamen sind keine action=.
POST/cart/GET /tc-lab-nonce/ → TICKET_ID CART_NONCE COOKIEHASHCookie setzen tc_cart_{COOKIEHASH}={ticket_id:1}POST /cart/ cart_action=proceed_to_checkout + nonce + owner_data_first_name_post_meta[id][0]=serialized objectTC::update_cart → save_cart_post_data speichert owner_data in SessionPOST /process-payment/ tc_payment_submit (free_orders permanently_active, total 0)TC_Gateway_Free_Orders::process_payment → TC::create_order → maybe_unserialize(owner *_post_meta)Antwort oder debug.log enthält POCWitness82226 (Klasse während Unserialize instanziiert). Theme-HTML, ungültige Cart-Nonce oder leerer Cart ist nicht der Object-Injection-Witness.
Zuerst dies tun: Aktualisieren Sie Tickera auf 3.6.0.3 oder neuer.
Nach dem Upgrade verifizieren
CVE-2026-82226-Abraxas-Labs.py erneut gegen den gepatchten Build ausführen: Der zugeordnete Witness darf nicht erscheinen.Wenn Sie nicht sofort aktualisieren können
Ziel ausschließlich http://127.0.0.1:8088 (oder das von Ihnen gebundene Loopback). Richten Sie dieses Skript nicht auf das Internet.
python3 CVE-2026-82226-Abraxas-Labs.py
Erfolg ist der Witness oben im Response-Body. Generisches 200-HTML ist es nicht.
Loopback-Stack zur Reproduktion. Offizielle Images, sofern nicht ein Dockerfile in diesem Ordner aus dem Quellcode baut.
cd lab
docker compose up --force-recreate
Binden Sie den verwundbaren Produkt-Tree neben Compose ein, wenn die YAML ein lokales Verzeichnis mountet (Plugin-Zip / Source-Tag aus der Versionstabelle). Veröffentlichen Sie nichts außer 127.0.0.1.
Plugin-Verzeichnis: tickera-event-ticketing-system
Trac-Browser: plugins.trac.wordpress.org/tickera-event-ticketing-system
SVN-Tags: plugins.svn.wordpress.org/tickera-event-ticketing-system
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-82226 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-82226`
- CWE: CWE-502
- published: 2026-08-31T21:17:53.447
## NVD description
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
## MITRE description
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
## Affected
- Tickera Tickera n/a affected
## References (JSON sources only)
- https://patchstack.com/database/wordpress/plugin/tickera-event-ticketing-system/vulnerability/wordpress-tickera-plugin-3-6-0-2-php-object-injection-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-v3jw-vq2p-6xp9
- https://nvd.nist.gov/vuln/detail/CVE-2026-82226
## GitHub advisory
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
Dieses Paket ist für den Vendor, den Site-Eigentümer und lizenzierte Labs. Das Skript kommuniziert mit 127.0.0.1. Die Verwendung gegen Systeme, die Ihnen nicht gehören, ist von Abraxas Labs nicht autorisiert. Keine Gewährleistung.