Adam Młynarczyk

Cypht before 2.12.2 contains a PHP object injection vulnerability that allows authenticated attackers to execute arbitrary operating system commands by supplying a crafted PHP object graph in the back query GET parameter of the logout handler. Attackers can pass a base64-encoded serialized payload through this parameter, which is decoded and passed directly to unserialize() without an allow-list, signature check, or type restriction, enabling gadget-chain exploitation to achieve remote code execution as the web server process.

Cypht before 2.12.2 contains a cross-site scripting vulnerability in the contacts module that allows remote attackers to execute arbitrary script content by embedding malicious payloads within angle brackets in the FROM email header. The sanitization logic removes only the first occurrence of each angle bracket character, leaving additional angle brackets intact, which attackers exploit by delivering a crafted email whose FROM header executes script in the victim's browser when the user opens the message and accesses the Add Local Contacts function.

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.0 **Description** A ausência de imposição de visibilidade no lado do servidor permite que atacantes não autenticados comprem ingressos ocultos. Ao referenciar IDs de produtos e preços ocultos em solicitações de criação de pedidos, os atacantes podem ignorar as verificações de autorização. Isso é possível através da enumeração de IDs de ingressos ocultos sequenciais com base em IDs visíveis para adquirir ingressos VIP, apenas para convidados ou com desconto que foram intencionalmente retirados da venda ao público. **Recommendations** Atualize o Hi.Events para a versão 1.11.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.0 **Description** Atacantes autenticados com permissões de criação ou edição de eventos podem realizar cross-site scripting ao inserir um título de evento malicioso contendo a sequência `</script>`. Isso ocorre porque a sequência não é escapada por `JSON.stringify()` quando incorporada em tags de script inline. Isso permite que o atacante saia do contexto do script dentro do bloco de dados estruturados `application/ld+json` ou do estado reidratado no lado do servidor, executando HTML e JavaScript arbitrários no navegador de qualquer usuário que visualize a página pública do evento, incluindo visitantes não autenticados e administradores. **Recommendations** Atualize para a versão 1.11.0 ou posterior.