CVE-2026-57959

Hi.Events weryfikuje miejsce docelowe webhooka tylko podczas rejestracji, nigdy podczas użycia. Reguła NoInternalUrlRule rozwiązuje nazwę hosta za pomocą gethostbyname() i odrzuca prywatne i zastrzeżone zakresy, ale każda publiczna nazwa hosta przechodzi. Podczas wysyłki WebhookDispatchService wywołuje zapisany adres URL bez ponownego sprawdzania, a przekierowania są domyślnie włączone. Miejsce docelowe, które odpowiada przekierowaniem do adresu loopback, prywatnego lub metadanych chmury, powoduje, że serwer wysyła takie żądanie, a zmiana rekordu DNS po rejestracji daje ten sam efekt. Odpowiedź nie jest odrzucana: WebhookResponseHandlerService przechowuje treść w logu webhooka, a WebhookLogResource zwraca ją z punktu końcowego logów, więc żądający odczytuje odpowiedź wewnętrznego serwisu. Wersja 1.11.1-beta ponownie weryfikuje przy wysyłce, przypina zweryfikowany adres, sprawdza każdy przeskok przekierowania i dekoduje adresy przejściowe IPv6, które wcześniej omijały filtr.

Podatność XSS w Hi.Events przed wersją 1.11.0 pozwala uwierzytelnionym atakującym z uprawnieniami do tworzenia lub edycji wydarzeń na wstrzyknięcie dowolnego kodu HTML i JavaScript poprzez osadzenie złośliwego tytułu wydarzenia zawierającego sekwencję </script>, która nie jest poprawnie escapowana przez JSON.stringify() w osadzonych skryptach inline. Atakujący może stworzyć tytuł wydarzenia, który wychodzi poza kontekst skryptu w bloku danych strukturalnych application/ld+json lub stanie odtworzonym po stronie serwera, powodując wykonanie ładunku w przeglądarce każdego użytkownika odwiedzającego publiczną stronę wydarzenia, w tym nieuwierzytelnionych gości i uwierzytelnionych administratorów.

Podatność w systemie Hi.Events przed wersją 1.11.0 umożliwia nieuwierzytelnionym atakującym zakup ukrytych biletów poprzez odwołanie się do ich identyfikatorów w żądaniach tworzenia zamówień. Brak kontroli dostępu po stronie serwera pozwala na enumerację sekwencyjnych identyfikatorów ukrytych biletów i zakup biletów VIP, na zaproszenie lub z rabatem, które nie były przeznaczone do publicznej sprzedaży.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia nieautoryzowany dostęp do list uczestników poprzez publiczne endpointy list kontrolnych. Wykorzystując jedynie identyfikator short_id, atakujący może odczytać pełne dane uczestników, w tym adresy e-mail i informacje osobiste, a także tworzyć lub usuwać rekordy kontrolne bez uwierzytelnienia.