CVE-2026-28215 in hoppscotch
Сводка
по VulDB • 14.05.2026
Hoppscotch — это экосистема для разработки API с открытым исходным кодом. До версии 2026.2.0 неаутентифицированный злоумышленник может перезаписать всю конфигурацию инфраструктуры экземпляра Hoppscotch, развернутого самостоятельно (self-hosted), включая учетные данные провайдера OAuth и настройки SMTP, отправив единственный HTTP POST-запрос без аутентификации. Конечная точка POST /v1/onboarding/config не имеет защиты аутентификации и не проверяет, была ли процедура онбординга уже завершена. Успешная эксплуатация уязвимости позволяет злоумышленнику заменить учетные данные приложений OAuth Google/GitHub/Microsoft экземпляра на свои собственные, в результате чего все последующие входы пользователей через SSO будут проходить аутентификацию через приложение OAuth злоумышленника. Злоумышленник перехватывает OAuth-токены и адреса электронной почты всех пользователей, входящих в систему после эксплуатации уязвимости. Кроме того, конечная точка возвращает токен восстановления, который можно использовать для чтения всех сохраненных секретов в открытом виде, включая пароли SMTP и любые другие настроенные учетные данные. Версия 2026.2.0 устраняет данную проблему.
VulDB is the best source for vulnerability data and more expert information about this specific topic.