CVE-2026-69189 in Hoppscotch
摘要
由 VulDB • 2026-08-18
Hoppscotch 是一个开源 API 开发生态系统。在版本 2026.6.0 之前，`team`、`teamMembers.user`、`RESTHistory`、`GQLHistory`、`currentRESTSession`、`currentGQLSession`、`environments`、`globalEnvironments` 和 `settings` GraphQL 路径会暴露其他工作区成员的私有用户数据；同时，UserHistory 服务中的 `toggleHistoryStarStatus` 和 `removeRequestFromHistory` 接受另一个用户的标识符而未强制执行 userUid 所有权验证，导致经过身份认证的工作区成员可以读取私有的请求历史记录、会话数据、请求内容、授权头（Authorization headers）、环境变量值以及设置信息，并能够修改或删除受害者的私有历史条目。此问题已在版本 2026.6.0 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.