جزئیات آسیب‌پذیری
CVE-2026-34455
HiEventsDev Hi.Events
Hi.Events: SQL Injection via Unvalidated sort_by Query Parameter in Multiple Repository Classes
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
Hi.Events is an open-source event management and ticket selling platform. From version 0.8.0-beta.1 to before version 1.7.1-beta, multiple repository classes pass the user-supplied sort_by query parameter directly to Eloquent's orderBy() without validation, enabling SQL injection. The application uses PostgreSQL which supports stacked queries. This issue has been patched in version 1.7.1-beta.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| HiEventsDev | Hi.Events | >= 0.8.0-beta.1, < 1.7.1-beta | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/HiEventsDev/Hi.Events/pull/1128 x_refsource_MISC
- https://github.com/HiEventsDev/Hi.Events/commit/01e1aee28d7249f235fdcca8e3a34e88214dcde9 x_refsource_MISC
- https://github.com/HiEventsDev/Hi.Events/releases/tag/v1.7.1-beta x_refsource_MISC
- https://github.com/HiEventsDev/Hi.Events/security/advisories/GHSA-2qcp-24fh-fx6p x_refsource_CONFIRM
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۱/۱۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۵٪
احتمال بهره‌برداری در ۳۰ روز
۲۹٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')