CVSS 10 分 Hoppscotch 批量赋值漏洞：服务器完全沦陷

sec随谈
sec随谈

sec随谈

2026年6月29日 09:15
北京

在小说阅读器读本章

去阅读

一个严重的 Hoppscotch 批量赋值漏洞正威胁着自托管的 API 部署。该漏洞编号为 CVE-2026-50160，允许未经身份验证的用户彻底接管实例。

摘要

安全研究人员在 Hoppscotch API 开发生态系统中发现了一个 CVSS 10 分的漏洞。这个 Hoppscotch 批量赋值问题允许攻击者覆盖关键的安全密钥。因此，黑客可以通过伪造管理员令牌实现服务器的完全沦陷。

影响为何重大

该漏洞使各组织在软件初始部署阶段暴露于风险之中。自托管实例在管理员完成初始化（onboarding）流程之前面临极高风险。报告指出，\"自托管的 Hoppscotch 实例在初始设置期间会暴露在互联网上\"。因此，从部署到完成之间的时间窗口使系统极易遭受攻击。

攻击者可以覆盖会话密钥（session secret）和 JWT 签名密钥的值。因此，他们无需知晓凭据，即可为任意用户身份伪造 JWT 令牌。这使他们获得了持久的管理员访问权限。即使合法管理员重置了自己的凭据，攻击者仍掌握着签名密钥的控制权。他们将一直保有这种访问权限，直到该部署被彻底拆除。

此外，入侵者还能利用经过身份验证的 GraphQL 查询，窃取所有存储的工作区、API 密钥和团队数据。攻击者还可以注入其他密钥来削弱密码哈希强度。他们甚至能够覆盖用于 Google、GitHub 和 Microsoft 集成的 OAuth 应用密钥。

攻击如何实现

该攻击针对初始化配置端点。在用户数量仍为零时，此端点会接受未经身份验证的请求。应用程序使用了一套验证管道（validation pipe）配置，但未能实施严格的白名单规则，也不会剥离传入请求中的额外属性。

因此，攻击者可以通过批量赋值向数据库注入任意配置密钥。服务层会毫无限制地遍历所有提供的密钥，并直接进行类型转换，而不执行运行时检查。由于应用程序缺少针对安全密钥的明确验证逻辑，数据库会悄无声息地接受这些恶意输入。其 switch 语句只是直接跳转至默认的 break 分支。

攻击者发送一个特制的 JSON 载荷，其中包含恶意密钥以及合法的初始化字段。服务器保存这些密钥后，便立即将完全控制权拱手交给了攻击者。

受影响的版本

这一严重漏洞影响运行 2026.4.1 及更早版本的 Hoppscotch 部署。该风险严格限于初始化尚未完成的全新安装实例。安全团队尚未确认该漏洞已在野外被实际利用。不过，已存在一个可运行的概念验证（PoC）。

补丁与缓解措施

管理员必须立即保护其实例。你应升级至 Hoppscotch 2026.5.0 版本以解决此问题。开发者已通过强制执行严格的验证规则修复了该端点。更多详情请参阅官方安全公告。此外，团队应在部署新实例后立即完成初始化设置。这一操作会改变用户数量，并彻底禁用该存在漏洞的端点。

参考链接：

https://github.com/hoppscotch/hoppscotch/security/advisories/GHSA-j542-4rch-8hwf