CVE-2026-28215 in hoppscotch
Tóm tắt
Bởi VulDB • 26/05/2026
Hoppscotch là một hệ sinh thái phát triển API mã nguồn mở. Trước phiên bản 2026.2.0, một kẻ tấn công chưa được xác thực có thể ghi đè toàn bộ cấu trúc hạ tầng của một phiên bản Hoppscotch tự lưu trữ (self-hosted), bao gồm cả thông tin xác thực nhà cung cấp OAuth và cài đặt SMTP, bằng cách gửi một yêu cầu HTTP POST duy nhất mà không cần xác thực. Điểm cuối POST /v1/onboarding/config không có cơ chế bảo vệ xác thực và không thực hiện bất kỳ kiểm tra nào xem quá trình thiết lập ban đầu (onboarding) đã hoàn tất hay chưa. Một cuộc khai thác thành công cho phép kẻ tấn công thay thế thông tin xác thực ứng dụng OAuth của Google/GitHub/Microsoft của phiên bản bằng thông tin của chúng, khiến tất cả các lần đăng nhập người dùng tiếp theo thông qua SSO xác thực với ứng dụng OAuth của kẻ tấn công. Kẻ tấn công sẽ thu thập mã thông báo OAuth và địa chỉ email của mọi người dùng đăng nhập sau khi cuộc khai thác diễn ra. Ngoài ra, điểm cuối này trả về một mã thông báo khôi phục (recovery token) có thể được sử dụng để đọc tất cả các bí mật được lưu trữ dưới dạng văn bản rõ, bao gồm mật khẩu SMTP và bất kỳ thông tin xác thực nào khác đã được cấu hình. Phiên bản 2026.2.0 đã khắc phục sự cố này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.