研究人员利用克劳德发现了可能发放免费节日门票的前门门票漏洞

一名安全研究人员在 Front Gate Tickets 中发现了未经身份验证的 SQL 注入漏洞，该漏洞可能允许攻击者接管音乐节票务系统并为美国主要音乐节发放免费门票。

该缺陷是由伊恩·卡罗尔，他表示该错误影响了 Front Gate Tickets 基础设施使用的公共设备 API。 Front Gate Tickets 处理大型节日活动的票务，包括 EDC、Bonnaroo、Outside Lands 等。

该案例获得了更广泛的关注，因为在 Web 应用程序防火墙阻止了更直接的 SQL 注入尝试后，Carroll 使用运行 Opus 的 Anthropic 的 Claude 代码来帮助构建漏洞利用路径。连线报道.

前门门票错误暴露了管理员访问风险

Front Gate Tickets 是一家节日票务提供商，其自己的网站称其专注于为促销者和粉丝提供节日票务体验。该公司在一个票务系统处理付款、活动访问、票房运营、客户记录和现场扫描工作流程的市场中运营。

卡罗尔说，他注意到许多节日网站都通过一小群 Front Gate 域来路由票务。在测试 fgtapi.frontgatetickets.com API 时，他发现任何包含单词 device 的路径都会触发特殊响应，要求提供 deviceUID 参数。

该 deviceUID 参数成为入口点。正常值返回响应，但添加引号导致请求挂起，这表明用户输入被直接放入数据库查询中。

Claude 帮助绕过了 WAF

API 位于 AWS WAF 后面，Carroll 表示标准工具一开始并没有取得进展。然后，他将问题交给了 Claude Code，Claude Code 帮助确定了一种在派生子查询中嵌套 SQL 结构的方法。

该漏洞没有返回直接的数据库输出。相反，它使用基于布尔值的盲 SQL 注入技术。根据测试条件是真还是假，响应在两个真实设备名称之间发生变化。

卡罗尔表示，这使得一次读取一位敏感数据库值成为可能。他的文章称，fgs 数据库有 500 多个表，包括客户记录、票务数据、员工凭证和实时令牌。

密码重置令牌创建了接管路径

最严重的发现涉及密码重置令牌。卡罗尔表示，他触发了密码重置，通过 SQL 注入从 RESET_TOKEN 表中读取有效令牌，并用它来接管 Front Gate Tickets 管理员帐户。

据报道，该帐户对该平台上的每个节日都有写入权限。卡罗尔表示，他可以从那里访问活动库存、定价、结帐功能、客户搜索功能和免费门票发放。

这正门门票该业务属于 Ticketmaster 更广泛的产品组合。 Live Nation 的 Ticketmaster 页面将 Front Gate Tickets 列为其票务品牌之一，此外还有 TicketWeb、Universe、IOMEDIA 和 Elevate。

• 攻击者可能已经搜索了客户和订单数据。
• 攻击者可能访问了与员工相关的记录。
• 攻击者可能读取并兑换了密码重置令牌。
• 攻击者可能试图发放免费门票。
• 攻击者可能通过一个管理员帐户影响多个节日。

研究人员称他在开票前停下来

最大的风险是免费门票，但卡罗尔表示，他在完成订单之前就停止了。据报道，他将高价值门票添加到购物车中以证明影响，但没有发行它们，因为这可能会跨越法律界限。

这连线报道Front Gate 辩称，这可以保护有限的个人信息暴露，欺诈性门票的发行将创建审计跟踪，并且不当门票将被检测并取消。

卡罗尔对该评估的部分内容提出异议，称他通过面向公众的途径获得了超级管理员访问权限。他还表示，Front Gate 并未声称有证据表明该漏洞以前从未被利用过。

为什么 Live Nation 和 Ticketmaster 链接很重要

Front Gate Tickets 在 2015 年被收购后成为 Ticketmaster 节日票务业务的一部分。 Live Nation 当时表示，此次收购将扩大其在节日和 DIY 活动市场的服务。

这种规模就是这个错误很重要的原因。票务基础设施中的一个弱点可能会同时影响许多活动、客户、促销员、员工账户和后台工作流程。

票务大师官方现场国家页面称其产品组合包括 Front Gate Tickets。这使得该事件不仅与音乐节粉丝相关，还与依赖集中票务平台的发起人和场馆运营商相关。

人工智能辅助安全研究正在快速发展

该事件还表明，人工智能辅助的漏洞研究正在迅速发生变化。卡罗尔表示，克劳德在提供目标行为后帮助找到了 WAF 绕过并编写了大部分漏洞利用链。

Anthropic 一直在为其最强大的 Claude 模型添加网络防护措施。它的支持页面说实时网络保障旨在检测和阻止可能表明禁止或高风险网络安全使用的请求。

据《连线》报道，Anthropic 表示，卡罗尔是其网络验证计划的一部分，该计划允许经过批准的安全研究人员使用先进的安全功能进行防御工作。该公司表示，该计划之外的类似活动将会被检测到并被阻止。

披露和修复时间表

卡罗尔表示，他于 2026 年 4 月 25 日向 Front Gate Tickets 和 Live Nation 报告了该问题。他表示，供应商当天承认了该报告，并确认该问题已于 2026 年 4 月 26 日得到解决。

该公开披露于 2026 年 7 月 1 日通过卡罗尔的文章。他还表示，这些公司没有明显的公共安全联系，迫使他猜测一封有效的披露电子邮件。

对于运营票务、活动或支付基础设施的公司来说，教训是显而易见的。面向公众的 API、旧设备端点、密码重置表和管理员面板需要人类研究人员和现代自动化工具进行定期测试。

票务平台应审查哪些内容

票务公司应审核公共 API 是否存在未经身份验证的行为，针对嵌套 SQL 模式测试 WAF 规则，并确保密码重置令牌无法创建完整的帐户接管路径。

他们还应该要求对特权管理员帐户进行多重身份验证。卡罗尔表示，在重置令牌接管后，无需第二个验证层即可实现管理员访问。

人工智能辅助测试的兴起意味着旧的假设不再成立。如果一名研究人员能够快速将手动测试与高级编码模型结合起来，攻击者就可以针对其他暴露的事件平台尝试相同的方法。

用户应该知道什么

现有报告中没有公开证据表明卡罗尔开具罚单、窃取大量客户数据或利用该漏洞谋取个人利益。已知的披露内容描述了一个安全研究案例，据报道供应商很快就修复了该案例。

节日客户仍应将票务帐户视为敏感帐户。他们应该使用唯一的密码，留意可疑的密码重置电子邮件，并避免在票务、电子邮件和支付帐户中重复使用凭据。

对于发起人和活动运营商来说，更关心的是平台集中度。当许多节日都依赖于同一个票务后端时，一个漏洞可能会造成更大的影响范围。

FAQ