CVE-2026-28215 in hoppscotch
الملخص
بحسب VulDB • 28/05/2026
Hoppscotch هو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API). قبل الإصدار 2026.2.0، يمكن لمهاجم غير مصرح له استبدال تكوين البنية التحتية بالكامل لنسخة مستضافة ذاتياً من Hoppscotch، بما في ذلك بيانات اعتماد مزود OAuth وإعدادات SMTP، من خلال إرسال طلب HTTP POST واحد دون أي مصادقة. نقطة النهاية POST /v1/onboarding/config لا تحتوي على حارس مصادقة ولا تقوم بأي فحص لمعرفة ما إذا كانت عملية التهيئة قد اكتملت بالفعل. يسمح الاستغلال الناجح للمهاجم باستبدال بيانات اعتماد تطبيقات OAuth الخاصة بـ Google/GitHub/Microsoft الخاصة بالنسخة ببياناته الخاصة، مما يتسبب في مصادقة جميع تسجيلات الدخول اللاحقة للمستخدمين عبر SSO ضد تطبيق OAuth الخاص بالمهاجم. يقوم المهاجم بالتقاط رموز OAuth وعناوين البريد الإلكتروني لكل مستخدم يسجل دخوله بعد الاستغلال. بالإضافة إلى ذلك، تُرجع نقطة النهاية رمز استرداد يمكن استخدامه لقراءة جميع الأسرار المخزنة كنص واضح، بما في ذلك كلمات مرور SMTP وأي بيانات اعتماد أخرى مُعدّة. يُصلح الإصدار 2026.2.0 هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.