🇰🇷 한글 설명
Hi.Events 이벤트 관리 플랫폼의 정렬 기능에서 사용자 입력을 검증 없이 SQL 쿼리에 직접 전달하여 발생하는 SQL injection 취약점입니다. PostgreSQL의 stacked queries를 악용하면 임의의 SQL 명령을 실행하여 데이터 유출, 변조, 삭제가 가능합니다. 1.7.1-beta에서 패치됨.
💡 쉬운 설명
Hi.Events의 검색 정렬 기능이 사용자 입력을 확인하지 않아 공격자가 악의적인 데이터베이스 명령을 주입할 수 있습니다. 이를 통해 전체 데이터베이스에서 민감한 정보를 탈취하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Hi.Events is an open-source event management and ticket selling platform. From version 0.8.0-beta.1 to before version 1.7.1-beta, multiple repository classes pass the user-supplied sort_by query parameter directly to Eloquent's orderBy() without validation, enabling SQL injection. The application uses PostgreSQL which supports stacked queries. This issue has been patched in version 1.7.1-beta.
📍 영향받는 시스템
Hi.Events 0.8.0-beta.1 ~ 1.7.1-beta 이전 버전
⚔️ 공격 벡터
sort_by 쿼리 파라미터에 SQL injection payload를 삽입하여 데이터베이스 직접 조작
🛡️ 대응 방법
1.7.1-beta 이상으로 즉시 업그레이드
🔧 검증 코드
hi-events 패키지의 버전이 1.7.1-beta 이상인지 확인. 설치되지 않았으면 프로젝트 구조 재확인 필요
composer show 2>/dev/null | grep -i events || echo 'Not a Laravel project'