CVE-2026-69189
WysokieCVSS 7.6Streszczenie
W Hoppscotch, ekosystemie do tworzenia API, przed wersją 2026.6.0, ścieżki GraphQL team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments i settings ujawniają prywatne dane użytkownika innego członka zespołu, a usługi toggleHistoryStatus i removeRequestFromHistory w UserHistory akceptują identyfikator historii innego użytkownika bez sprawdzania własności userUid, co pozwala uwierzytelnionemu członkowi zespołu na odczyt prywatnej historii żądań, danych sesji, treści żądań, nagłówków autoryzacji, wartości środowiskowych i ustawień oraz modyfikację lub usunięcie prywatnych wpisów historii ofiary.
Ocena ryzyka
Uwierzytelniony członek zespołu może uzyskać dostęp do poufnych danych innych członków, w tym nagłówków autoryzacji i treści żądań, oraz manipulować ich historią.
Rekomendacja
Zaktualizuj Hoppscotch do wersji 2026.6.0.
Oryginalny opis (angielski, źródło NVD)
Hoppscotch is an open source API development ecosystem. Prior to 2026.6.0, the team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments, and settings GraphQL paths expose another workspace member's private User data, while toggleHistoryStarStatus and removeRequestFromHistory in the UserHistory service accept another user's history identifier without enforcing userUid ownership, allowing an authenticated workspace member to read private request history, session data, request contents, authorization headers, environment values, and settings and to modify or delete the victim's private history entries. This issue is fixed in version 2026.6.0.