CVE-2026-50160

Hoppscotch API inkişaf ekosistemidir. hoppscotch-backend-in 2026.4.1 və daha əvvəlki versiyalarının öz-özünə host edilən quraşdırmalarında autentifikasiya tələb etməyən POST /v1/onboarding/config endpoint-i kütləvi təyinat (mass assignment) zəifliyinə məruz qalır. Qlobal NestJS ValidationPipe whitelist: true olmadan konfiqurasiya edildiyi üçün sorğu gövdəsində SaveOnboardingConfigRequest-də elan olunmayan əlavə xassələr silinmir və xidmət qatında sanki qanuni InfraConfig qeydləri imiş kimi iterasiya olunur. JWT_SECRET və SESSION_SECRET kimi açarlar etibarlı InfraConfigEnum dəyərləri olduğundan və validasiya zamanı açıq şəkildə rədd edilmədiyindən, onboarding tamamlanmazdan əvvəl (və ya istifadəçi olmadıqda) təzə instansiyaya çata bilən autentifikasiya olunmamış hücumçu bu dəyərləri verilənlər bazasında üzərinə yaza bilər. JWT_SECRET-in üzərinə yazılması hücumçuya JWT imzalama açarına nəzarət imkanı verir, bu da ona istənilən istifadəçi, o cümlədən administratorlar üçün token saxtalaşdırmağa imkan verir və nəticədə serverin tam ələ keçirilməsinə gətirib çıxarır. Problem hoppscotch 2026.5.0 versiyasında düzəldilmişdir.