FICHE CVE

CVE-2026-57959

Publiée le 2026-06-29 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les installations de Hi.Events jusqu'à la version 1.9.0 sont vulnérables à une faille dans la validation des codes promotionnels. Un attaquant non authentifié disposant d'un accès réseau peut contourner les limites d'utilisation pour utiliser des codes de réduction restreints un nombre illimité de fois. Bien que cela nécessite une séquence spécifique de requêtes pour contourner le processus de mise à jour asynchrone du système, cela peut être utilisé pour obtenir des services à prix réduit.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-06-29

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Hi.Events through 1.9.0 contains a promo code validation vulnerability where reservation validates usage count before asynchronous UpdateEventStatisticsJob increments it, allowing attackers to redeem limited promo codes unlimited times. Attackers can sequentially reserve multiple orders with the same restricted promo code, each reading order_usage_count=0 and passing validation, then complete them all at discounted prices without concurrent requests.