JVNDB-2026-005453

Hoppscotchにおけるユーザ制御の鍵による認証回避に関する脆弱性

hoppscotchはオープンソースのAPI開発エコシステムです。バージョン2026.2.0以前では、ログインした任意のユーザーが他のユーザーの個人環境をIDによって読み取り、変更、または削除することが可能でした。`user-environments.resolver.ts:82-109`において、`updateUserEnvironment`ミューテーションは`@UseGuards(GqlAuthGuard)`を使用していますが、`@GqlUser()`デコレーターがまったく欠如しています。ユーザーの識別情報が抽出されないため、サービスは環境IDのみを受け取り、所有権フィルターなしに`prisma.userEnvironment.update({where: {id}})`を実行します。`deleteUserEnvironment`はユーザーを抽出しますが、サービスは対象がグローバル環境かどうかを確認するためにUIDのみを使用し、実際の削除クエリはAND userUidを含まないWHERE {id}を使用しています。hoppscotchの環境にはAPIキー、認証トークン、APIリクエストで使用される秘密情報が保存されています。認証された攻撃者が他のユーザーの環境IDを取得すると、その秘密情報を読み取り、悪意のある値に置き換えたり、完全に削除したりすることが可能です。環境IDの形式はCUIDであり、大量の悪用は制限されますが、内部関係者による脅威や情報漏洩との組み合わせシナリオは現実的です。バージョン2026.2.0でこの問題は修正されました。

Hoppscotch

• Hoppscotch 2026.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : IDOR in updateUserEnvironment / deleteUserEnvironment  Advisory  hoppscotch/hoppscotch  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-28216

1. National Vulnerability Database (NVD) : CVE-2026-28216
2. 関連文書 : Release 2026.2.0  hoppscotch/hoppscotch  GitHub

• [2026年03月02日]
    掲載