VDB-348066 · CVE-2026-28215 · GHSA-jwv8-867r-q9fg

hoppscotch 2023.4.5/2023.12.6 Endpoint /v1/onboarding/config escalada de privilegios

CVSS Puntuación meta temporal	Precio actual del exploit (≈)	Puntuación de interés CTI
8.0	$0-$5k	0.00

Resumeninformación

Se ha identificado una vulnerabilidad clasificada como crítica en hoppscotch. Está afectada una función desconocida en el archivo /v1/onboarding/config en el componente Endpoint. Mediante la manipulación de un input desconocido se causa una vulnerabilidad de clase escalada de privilegios. Esta vulnerabilidad está identificada como CVE-2026-28215. Se puede ejecutar el ataque remotamente. Ningún exploit está disponible. Es recomendable actualizar el componente afectado.

Detallesinformación

Una vulnerabilidad ha sido encontrada en hoppscotch y clasificada como crítica. Una función desconocida del archivo /v1/onboarding/config del componente Endpoint es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase escalada de privilegios. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. CVE resume:

hoppscotch es un ecosistema de desarrollo de API de código abierto. Antes de la versión 2026.2.0, un atacante no autenticado puede sobrescribir toda la configuración de infraestructura de una instancia de Hoppscotch autoalojada, incluyendo las credenciales del proveedor OAuth y la configuración SMTP, enviando una única solicitud HTTP POST sin autenticación. El endpoint POST /v1/onboarding/config no tiene protección de autenticación y no realiza ninguna comprobación sobre si la incorporación ya se completó. Un exploit exitoso permite al atacante reemplazar las credenciales de la aplicación OAuth de Google/GitHub/Microsoft de la instancia con las suyas propias, haciendo que todos los inicios de sesión de usuario posteriores a través de SSO se autentiquen contra la aplicación OAuth del atacante. El atacante captura tokens OAuth y direcciones de correo electrónico de cada usuario que inicia sesión después del exploit. Además, el endpoint devuelve un token de recuperación que puede usarse para leer todos los secretos almacenados en texto plano, incluyendo contraseñas SMTP y cualquier otra credencial configurada. La versión 2026.2.0 soluciona el problema.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2026-28215. Es fácil de explotar. El ataque puede ser realizado a través de la red. La explotación no requiere ninguna forma de autentificación. Hay detalles técnicos conocidos, pero no se dispone de un exploit.

Una actualización a la versión 2026.2.0 elimina esta vulnerabilidad. La actualización se puede descargar de github.com.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Productoinformación

Nombre

hoppscotch

Versión

Sitio web

Producto: https://github.com/hoppscotch/hoppscotch/

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.2
VulDB Puntuación meta temporal: 8.0

VulDB Puntuación base: 7.3
VulDB Puntuación temporal: 7.0
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CNA Puntuación base: 9.1
CNA Vector (GitHub_M): 🔒

CVSSv2información

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complejidad	Autenticación	Confidencialidad	Integridad	Disponibilidad
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Escalada de privilegios
CWE: CWE-284 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoy	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔒

Actualización: hoppscotch 2026.2.0

Línea de tiempoinformación

2026-02-25 CVE asignado
2026-02-27 +2 días Aviso publicado
2026-02-27 +0 días Entrada de VulDB creada
2026-03-01 +2 días Última actualización de VulDB