CVE-2026-69189 in Hoppscotch
Résumé
par VulDB • 18/08/2026
Hoppscotch est un écosystème de développement d'API open source. Avant la version 2026.6.0, les chemins GraphQL `team`, `teamMembers.user`, `RESTHistory`, `GQLHistory`, `currentRESTSession`, `currentGQLSession`, `environments`, `globalEnvironments` et `settings` exposent des données utilisateur privées appartenant à un autre membre de l'espace de travail. De plus, les fonctions `toggleHistoryStarStatus` et `removeRequestFromHistory` du service UserHistory acceptent un identifiant d'historique provenant d'un autre utilisateur sans vérifier la propriété via le userUid, permettant ainsi à un membre authentifié de l'espace de travail de lire l'historique des requêtes privé, les données de session, le contenu des requêtes, les en-têtes d'autorisation, les valeurs des environnements et les paramètres, ainsi que de modifier ou supprimer les entrées d'historique privées de la victime. Ce problème est corrigé dans la version 2026.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.