CVE-2026-28215

hoppscotch açıq mənbəli API inkişaf ekosistemidir. Versiya 2026.2.0-dək olan versiyalarda, autentifikasiya olunmamış hücumçu, heç bir autentifikasiya olmadan tək bir HTTP POST sorğusu göndərməklə, özünə məxsus serverdə (self-hosted) quraşdırılmış Hoppscotch instansiyasının bütün infrastruktur konfiqurasiyasını, o cümlədən OAuth provayder etibarnamələrini və SMTP parametrlərini yenidən yaza bilər. POST /v1/onboarding/config son nöqtəsi (endpoint) autentifikasiya mühafizəsinə malik deyil və onboarding prosesinin artıq tamamlanıb-tamamlanmadığını yoxlamır. Uğurlu istismar hücumçuya instansiyanın Google/GitHub/Microsoft OAuth tətbiqi etibarnamələrini özləri ilə əvəz etməyə imkan verir ki, bu da SSO vasitəsilə edilən bütün növbəti istifadəçi girişlərinin hücumçunun OAuth tətbiqinə qarşı autentifikasiya olunmasına səbəb olur. Hücumçu, istismardan sonra daxil olan hər bir istifadəçinin OAuth tokenlərini və e-poçt ünvanlarını əldə edir. Əlavə olaraq, son nöqtə SMTP şifrələri və digər konfiqurasiya edilmiş etibarnamələr də daxil olmaqla, saxlanılan bütün gizli məlumatları (secrets) açıq mətndə oxumaq üçün istifadə edilə bilən bərpa tokeni qaytarır. Versiya 2026.2.0 bu problemi aradan qaldırır.