Adam Młynarczyk

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.0 **Description** A ausência de imposição de visibilidade no lado do servidor permite que atacantes não autenticados comprem ingressos ocultos. Ao referenciar IDs de produtos e preços ocultos em solicitações de criação de pedidos, os atacantes podem ignorar as verificações de autorização. Isso é possível através da enumeração de IDs de ingressos ocultos sequenciais com base em IDs visíveis para adquirir ingressos VIP, apenas para convidados ou com desconto que foram intencionalmente retirados da venda ao público. **Recommendations** Atualize o Hi.Events para a versão 1.11.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.0 **Description** Atacantes autenticados com permissões de criação ou edição de eventos podem realizar cross-site scripting ao inserir um título de evento malicioso contendo a sequência `</script>`. Isso ocorre porque a sequência não é escapada por `JSON.stringify()` quando incorporada em tags de script inline. Isso permite que o atacante saia do contexto do script dentro do bloco de dados estruturados `application/ld+json` ou do estado reidratado no lado do servidor, executando HTML e JavaScript arbitrários no navegador de qualquer usuário que visualize a página pública do evento, incluindo visitantes não autenticados e administradores. **Recommendations** Atualize para a versão 1.11.0 ou posterior.