JVNDB-2026-022355

Hoppscotchにおける動的に決定されたオブジェクト属性の不適切に制御された変更に関する脆弱性

HoppscotchはAPI開発エコシステムです。バージョン2026.4.1以前のhoppscotch-backendのセルフホスト型展開において、認証されていないPOST /v1/onboarding/configエンドポイントにマスアサインメントの脆弱性があります。グローバルなNestJSのValidationPipeではwhitelist: trueが設定されておらず、SaveOnboardingConfigRequestに宣言されていないリクエストボディの余分なプロパティが除去されず、サービス層で正当なInfraConfigのエントリであるかのように処理されます。JWT_SECRETやSESSION_SECRETのようなキーは有効なInfraConfigEnum値であり、検証時に明示的に拒否されないため、認証されていない攻撃者がオンボーディング完了前（またはユーザーが存在しない状態）に新規インスタンスにアクセスできる場合、これらの値をデータベースに上書きすることが可能です。JWT_SECRETを書き換えると攻撃者はJWT署名キーを制御し、管理者を含む任意のユーザーのトークンを偽造できるため、サーバー全体を完全に乗っ取ることができます。この問題はhoppscotch 2026.5.0で修正されています。

Hoppscotch

• Hoppscotch 2026.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Mass Assignment via Onboarding Endpoint Allows Unauthenticated JWT_SECRET Overwrite  Advisory  hoppscotch/hoppscotch  GitHub

Openwall

• Openwall mailing list archives : oss-security - [CVE-2026-50160] Hoppscotch: Unauthenticated JWT Secret Overwrite (CVSS 10.0)

1. 動的に決定されたオブジェクト属性の不適切に制御された変更(CWE-915) [その他]

1. CVE-2026-50160

1. National Vulnerability Database (NVD) : CVE-2026-50160
2. 関連文書 : fix(security): prevent mass assignment in onboarding by nahidhasan94  Pull Request #6171  hoppscotch/hoppscotch  GitHub

• [2026年07月06日]
    掲載