abraxas/cve-2026-82226Proof-of-concept и лаборатория для CVE-2026-82226 — неаутентифицированная инъекция PHP-объектов в Tickera <= 3.6.0.2 через POST /cart/, с воспроизведением в Docker и рекомендациями по исправлению.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-82226
Tickera 3.6.0.2 — Tickera
Неаутентифицированная инъекция PHP-объектов в Tickera <= 3.6.0.2.
| CVE | CVE-2026-82226 · CVE.org |
| CWE | CWE-502 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Продукт | Tickera |
| Затронуто | все версии по 3.6.0.2 (включительно) |
| Исправлено | 3.6.0.3 и новее |
| Аутентификация | отсутствует (см. карту исходников) |
| Лаборатория | только 127.0.0.1 · пакет для раскрытия вендору/клиенту, не сканер |
PHP Object Injection — это maybe_unserialize для метаданных владельца при оформлении заказа в create_order, а не ajax action=. HTTP — это страницы корзины и обработки платежа. Имена PHP-методов не являются action=.
POST/cart/GET /tc-lab-nonce/ → TICKET_ID CART_NONCE COOKIEHASHSet cookie tc_cart_{COOKIEHASH}={ticket_id:1}POST /cart/ cart_action=proceed_to_checkout + nonce + owner_data_first_name_post_meta[id][0]=serialized objectTC::update_cart → save_cart_post_data stores owner_data in sessionPOST /process-payment/ tc_payment_submit (free_orders permanently_active, total 0)TC_Gateway_Free_Orders::process_payment → TC::create_order → maybe_unserialize(owner *_post_meta)Ответ или debug.log содержит POCWitness82226 (класс, инстанцированный во время unserialize). HTML темы, недействительный nonce корзины или пустая корзина не являются свидетелем инъекции объекта.
Сделайте это в первую очередь: обновите Tickera до 3.6.0.3 или новее.
Проверка после обновления
CVE-2026-82226-Abraxas-Labs.py против пропатченной сборки: сопоставленный свидетель не должен появляться.Если вы не можете обновиться немедленно
Цель — только http://127.0.0.1:8088 (или loopback, который вы привязали). Не направляйте этот скрипт в интернет.
python3 CVE-2026-82226-Abraxas-Labs.py
Успех — это свидетель, указанный выше, в теле ответа. Обобщённый HTML с кодом 200 — это не он.
Loopback-стек, использованный для воспроизведения. Официальные образы, если только Dockerfile в этой папке не собирает из исходников.
cd lab
docker compose up --force-recreate
Привяжите дерево уязвимого продукта рядом с Compose, если YAML монтирует локальный каталог (zip плагина / тег исходников из таблицы версий). Не публикуйте ничего, кроме 127.0.0.1.
Каталог плагинов: tickera-event-ticketing-system
Браузер Trac: plugins.trac.wordpress.org/tickera-event-ticketing-system
Теги SVN: plugins.svn.wordpress.org/tickera-event-ticketing-system
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-82226 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-82226`
- CWE: CWE-502
- published: 2026-08-31T21:17:53.447
## NVD description
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
## MITRE description
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
## Affected
- Tickera Tickera n/a affected
## References (JSON sources only)
- https://patchstack.com/database/wordpress/plugin/tickera-event-ticketing-system/vulnerability/wordpress-tickera-plugin-3-6-0-2-php-object-injection-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-v3jw-vq2p-6xp9
- https://nvd.nist.gov/vuln/detail/CVE-2026-82226
## GitHub advisory
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
Этот пакет предназначен для вендора, владельца сайта и лицензированных лабораторий. Скрипт обращается к 127.0.0.1. Использование его против систем, которыми вы не владеете, не авторизовано Abraxas Labs. Без гарантий.