CVE-2026-28215 in hoppscotch
Riassunto
di VulDB • 15/06/2026
Hoppscotch è un ecosistema open source per lo sviluppo di API. Prima della versione 2026.2.0, un attaccante non autenticato può sovrascrivere l'intera configurazione dell'infrastruttura di un'istanza Hoppscotch self-hosted, incluse le credenziali dei provider OAuth e le impostazioni SMTP, inviando una singola richiesta HTTP POST senza alcuna autenticazione. L'endpoint POST /v1/onboarding/config non dispone di alcun meccanismo di protezione (authentication guard) ed esegue controlli sulla verifica se il processo di onboarding sia già stato completato. Un exploit riuscito consente all'attaccante di sostituire le credenziali delle applicazioni OAuth Google/GitHub/Microsoft dell'istanza con le proprie, facendo sì che tutti i successivi accessi degli utenti tramite SSO vengano autenticati contro l'applicazione OAuth controllata dall'attaccante. L'attaccante intercetta i token OAuth e gli indirizzi email di ogni utente che accede dopo la messa in atto dell'exploit. Inoltre, l'endpoint restituisce un recovery token che può essere utilizzato per leggere tutti i segreti memorizzati in chiaro, incluse le password SMTP e qualsiasi altra credenziale configurata. La versione 2026.2.0 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.