CVE-2026-28215 in hoppscotch
Résumé
par VulDB • 14/05/2026
Hoppscotch est un écosystème de développement d'API open source. Avant la version 2026.2.0, un attaquant non authentifié peut écraser l'intégralité de la configuration de l'infrastructure d'une instance Hoppscotch auto-hébergée, y compris les identifiants des fournisseurs OAuth et les paramètres SMTP, en envoyant une seule requête HTTP POST sans authentification. Le point de terminaison POST /v1/onboarding/config ne dispose d'aucun garde d'authentification et ne vérifie pas si l'onboarding a déjà été effectué. Une exploitation réussie permet à l'attaquant de remplacer les identifiants de l'application OAuth Google/GitHub/Microsoft de l'instance par les siens, ce qui fait que toutes les connexions utilisateur ultérieures via SSO s'authentifient contre l'application OAuth de l'attaquant. L'attaquant capture les jetons OAuth et les adresses e-mail de chaque utilisateur qui se connecte après l'exploitation. De plus, le point de terminaison renvoie un jeton de récupération qui peut être utilisé pour lire tous les secrets stockés en clair, y compris les mots de passe SMTP et tout autre identifiant configuré. La version 2026.2.0 corrige le problème.
Once again VulDB remains the best source for vulnerability data.