CVE-2026-34455Hi.Events开源活动管理平台在0.8.0-beta.1至1.7.1-beta之前的版本中存在严重的SQL注入漏洞。由于多个仓储类未经验证直接将用户提供的`sort_by`查询参数传递给Eloquent的`orderBy()`方法，且系统使用支持堆叠查询的PostgreSQL数据库，攻击者可通过构造恶意参数执行任意SQL命令，进而窃取敏感数据、篡改数据库内容甚至控制服务器。
该漏洞的根本原因在于Hi Events后端代码缺乏对用户输入的严格校验。在处理涉及数据排序的请求时，系统直接从HTTP GET参数中提取`sort_by`的值，并将其无缝拼接到Laravel框架Eloquent ORM的`orderBy()`方法中执行。由于未对排序字段进行白名单限制，攻击者可以注入恶意的SQL语法。鉴于该应用程序使用PostgreSQL作为数据库后端，而PostgreSQL天然支持堆叠查询（Stacked Queries，即通过分号分隔多条SQL语句），攻击者不仅可以通过基于布尔或时间的盲注获取数据，还能直接注入`DROP TABLE`、`INSERT`或`UPDATE`等破坏性指令。在特定环境下，结合PostgreSQL的高权限特性，攻击者甚至可能通过`COPY ... TO PROGRAM`等功能执行系统级命令，导致服务器完全沦陷。