Nieuwierzytelniony atakujący może nadpisać całą konfigurację infrastruktury samodzielnie hostowanej instancji Hoppscotch, w tym dane uwierzytelniające dostawców OAuth i ustawienia SMTP, wysyłając pojedyncze żądanie HTTP POST bez żadnego uwierzytelnienia. Podatność jest krytyczna, ponieważ pozwala na przechwycenie tokenów OAuth i adresów e-mail wszystkich użytkowników logujących się po przeprowadzeniu ataku.
▸ Pokaż oryginał (EN)
hoppscotch is an open source API development ecosystem. Prior to version 2026.2.0, an unauthenticated attacker can overwrite the entire infrastructure configuration of a self-hosted Hoppscotch instance including OAuth provider credentials and SMTP settings by sending a single HTTP POST request with no authentication. The endpoint POST /v1/onboarding/config has no authentication guard and performs no check on whether onboarding was already completed. A successful exploit allows the attacker to replace the instance's Google/GitHub/Microsoft OAuth application credentials with their own, causing all subsequent user logins via SSO to authenticate against the attacker's OAuth app. The attacker captures OAuth tokens and email addresses of every user who logs in after the exploit. Additionally, the endpoint returns a recovery token that can be used to read all stored secrets in plaintext, including SMTP passwords and any other configured credentials. Version 2026.2.0 fixes the issue.
Endpoint POST /v1/onboarding/config nie posiada żadnej kontroli uwierzytelnienia ani weryfikacji, czy proces wdrożenia (onboarding) został już wcześniej ukończony. Atakujący wysyła pojedyncze żądanie HTTP POST, zastępując konfigurację OAuth (Google, GitHub, Microsoft) własnymi danymi aplikacji, przez co wszystkie kolejne logowania SSO uwierzytelniają się wobec aplikacji OAuth kontrolowanej przez atakującego. Dodatkowo endpoint zwraca token odzyskiwania (recovery token), który umożliwia odczyt wszystkich przechowywanych sekretów w postaci jawnego tekstu, w tym haseł SMTP i innych skonfigurowanych poświadczeń.
Atakujący może przechwycić tokeny OAuth oraz adresy e-mail wszystkich użytkowników logujących się po ataku, a także uzyskać dostęp do wszelkich przechowywanych sekretów instancji w postaci jawnego tekstu, co prowadzi do pełnego przejęcia kontroli nad środowiskiem.
Należy zaktualizować Hoppscotch do wersji 2026.2.0, która naprawia opisaną podatność. Szczegóły dostępne w referencjach producenta: https://github.com/hoppscotch/hoppscotch/releases/tag/2026.2.0
Hoppscotch (self-hosted) we wszystkich wersjach poprzedzających 2026.2.0
Podatność dotyczy wyłącznie instancji self-hosted. Szczegółowe informacje opublikowano w security advisory GHSA-jwv8-867r-q9fg na GitHub.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NHoppscotch
APPHoppscotch< 2026.2.0
Powiązane podatności
Hoppscotch is an API development ecosystem. In self-hosted deployments of hoppscotch-backend from version 2026...
hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, there is a stored XSS vulne...
hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, there is an open redirect v...
hoppscotch is an open source API development ecosystem. Prior to version 2026.2.0, any logged-in user can read...
hoppscotch is an open source API development ecosystem. In versions prior to 2023.4.5 the database password is...