🇰🇷 한글 설명
Hoppscotch의 특정 GraphQL 경로와 UserHistory 서비스에서 사용자 소유권 검증이 누락되어 발생한 취약점입니다. 인증된 워크스페이스 멤버가 다른 사용자의 개인 요청 기록, 세션 데이터, 환경 변수 및 설정 등을 읽거나 수정 및 삭제할 수 있습니다.
💡 쉬운 설명
같은 팀원이라도 권한이 없는 다른 사람의 API 사용 기록이나 비밀번호 같은 중요한 정보를 몰래 보거나 지울 수 있는 보안 결함입니다. 이로 인해 개인적인 작업 내용이나 인증 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Hoppscotch is an open source API development ecosystem. Prior to 2026.6.0, the team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments, and settings GraphQL paths expose another workspace member's private User data, while toggleHistoryStarStatus and removeRequestFromHistory in the UserHistory service accept another user's history identifier without enforcing userUid ownership, allowing an authenticated workspace member to read private request history, session data, request contents, authorization headers, environment values, and settings and to modify or delete the victim's private history entries. This issue is fixed in version 2026.6.0.
📍 영향받는 시스템
Hoppscotch version prior to 2026.6.0
⚔️ 공격 벡터
인증된 워크스페이스 멤버가 타인의 식별자를 사용하여 GraphQL 경로 및 UserHistory 서비스에 접근
🛡️ 대응 방법
Hoppscotch를 최신 버전인 2026.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2026.6.0 이상의 버전 정보가 포함되어 있는지 확인하십시오.
curl -s http://<target-host>/version | grep -E '2026.6.0'