NERDMANHacker garantiert sich Speaker-Slot per XSS
Ein Security-Forscher hat den ultimativen Lifehack für Tech-Konferenzen gefunden: Statt sich zu bewerben, übernimmt er einfach das Bewertungssystem. Der Bug steckt in pretalx — der Software, mit der halb Europa ihre Call-for-Papers verwaltet.
Was konkret passiert ist
Der Forscher entdeckte eine Stored-XSS-Lücke in pretalx, dem Open-Source-Tool für Konferenz-Einreichungen. Jedes durchsuchbare Feld — Titel, Speaker-Name, E-Mail — lässt sich mit Schadcode füllen. Sobald ein Organisator das Backend öffnet, läuft der Code in dessen Session.
- CVE:** 2026-41241
- Typ:** Stored Cross-Site Scripting
- Betroffen:** pretalx (Open Source)
- Angriffsfläche:** Titel, Display-Name, Username, E-Mail
✅ Pro
- Garantierter Speaker-Slot
- Kein Inhalt nötig, nur ein bisschen JavaScript
- Funktioniert auf vielen großen Konferenzen
❌ Con
- Nennt sich Straftat
- CFP-Komitees mögen es nicht, wenn man ihre Cookies klaut
- Patch ist raus, Party vorbei
💡 Was das bedeutet
pretalx läuft bei Chaos Communication Congress, FOSDEM und vielen anderen. Wer das Tool selbst hostet und nicht patcht, gibt Angreifern die volle Kontrolle über die Auswahl. Im schlimmsten Fall landet nicht der beste Talk auf der Bühne, sondern der mit dem besten Payload.