PT-2026-58093 · WordPress · Hi.Events

Adam Młynarczyk · Publicado 2026-07-14 · Atualizado 2026-07-14 · CVE-2026-60118

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Hi.Events versões anteriores a 1.11.0

Description A ausência de imposição de visibilidade no lado do servidor permite que atacantes não autenticados comprem ingressos ocultos. Ao referenciar IDs de produtos e preços ocultos em solicitações de criação de pedidos, os atacantes podem ignorar as verificações de autorização. Isso é possível através da enumeração de IDs de ingressos ocultos sequenciais com base em IDs visíveis para adquirir ingressos VIP, apenas para convidados ou com desconto que foram intencionalmente retirados da venda ao público.

Recommendations Atualize o Hi.Events para a versão 1.11.0 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-60118

GHSA-2H54-CPRV-VJ74

Produtos afetados

Hi.Events

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/60xxx/CVE-2026-60118.json · Exploit
• https://github.com/HiEventsDev/Hi.Events · Nota
• https://github.com/HiEventsDev/Hi.Events/releases/tag/v.1.11.0-beta · Nota
• https://github.com/HiEventsDev/Hi.Events/commit/9eec95e6176f500b71bf633986243045ca78cefb · Correção
• https://github.com/HiEventsDev/Hi.Events/security/advisories/GHSA-2h54-cprv-vj74 · Aviso do Fabricante
• https://github.com/HiEventsDev/Hi.Events/pull/1259 · Nota
• https://vulncheck.com/advisories/hi-events-beta-hidden-ticket-enumeration-via-order-creation-endpoint · Nota
• https://osv.dev/vulnerability/CVE-2026-60118 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-60118 · Nota de Segurança