CVE-2026-28215

hoppscotch açık kaynaklı bir API geliştirme ekosistemidir. Versiyon 2026.2.0 öncesinde, kimliği doğrulanmamış bir saldırgan, herhangi bir kimlik doğrulama gerektirmeyen tek bir HTTP POST isteği göndererek; OAuth sağlayıcı kimlik bilgileri ve SMTP ayarları dahil olmak üzere, kendi sunucusunda barındırılan (self-hosted) bir Hoppscotch örneğinin tüm altyapı yapılandırmasını üzerine yazabilir. POST /v1/onboarding/config uç noktası herhangi bir kimlik doğrulama korumasına sahip değildir ve başlangıç kurulumunun (onboarding) zaten tamamlanıp tamamlanmadığına dair bir kontrol gerçekleştirmez. Başarılı bir istismar, saldırganın örneğin Google/GitHub/Microsoft OAuth uygulama kimlik bilgilerini kendisininkilerle değiştirmesine olanak tanıyarak, SSO üzerinden yapılan tüm sonraki kullanıcı girişlerinin saldırganın OAuth uygulaması üzerinden kimlik doğrulamasına neden olur. Saldırgan, istismardan sonra giriş yapan her kullanıcının OAuth belirteçlerini ve e-posta adreslerini ele geçirir. Ek olarak, uç nokta; SMTP şifreleri ve yapılandırılmış diğer tüm kimlik bilgileri dahil olmak üzere depolanan tüm gizli bilgilerin düz metin olarak okunmasını sağlayan bir kurtarma belirteci döndürür. Versiyon 2026.2.0 bu sorunu gidermektedir.