CVE-2026-50160
Açıklama
Hoppscotch bir API geliştirme ekosistemidir. hoppscotch-backend'in 2026.4.1 ve önceki sürümlerinin kendi sunucunuzda barındırılan dağıtımlarında, kimlik doğrulaması gerektirmeyen POST /v1/onboarding/config uç noktası toplu atama (mass assignment) zafiyetine sahiptir. Global NestJS ValidationPipe, whitelist: true olmadan yapılandırılmıştır; bu nedenle istek gövdesindeki SaveOnboardingConfigRequest içinde tanımlanmamış olan ekstra özellikler ayıklanmaz ve servis katmanında meşru InfraConfig girişleriymiş gibi işlenir. JWT_SECRET ve SESSION_SECRET gibi anahtarlar geçerli InfraConfigEnum değerleri olduğu ve doğrulama sırasında açıkça reddedilmediği için, onboarding işlemi tamamlanmadan önce (veya hiç kullanıcı yokken) yeni bir örneğe erişebilen kimliği doğrulanmamış bir saldırgan, veritabanındaki bu değerlerin üzerine yazabilir. JWT_SECRET değerinin değiştirilmesi, saldırgana JWT imzalama anahtarının kontrolünü verir; bu da yöneticiler dahil herhangi bir kullanıcı için sahte tokenlar oluşturmalarına olanak tanır ve sunucunun tamamen ele geçirilmesiyle sonuçlanır. Sorun hoppscotch 2026.5.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- hoppscotch hoppscotch2026.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hoppscotch hoppscotch | v < 2026.5.0 | 2026.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.