Kritische Schwachstelle in Hoppscotch: Unbefugter Zugriff auf Server möglich (CVE-2026-50160)

Was ist passiert?

In selbst gehosteten Installationen des API-Entwicklungssystems Hoppscotch (Version 2026.4.1 und älter) wurde eine kritische Schwachstelle entdeckt. Ein Fehler in der Datenverarbeitung, bekannt als 'Mass Assignment', ermöglicht es Angreifern, bestimmte Konfigurationswerte zu überschreiben. Dies betrifft insbesondere den geheimen Schlüssel für Benutzeranmeldungen (JWT_SECRET).

Wer ist betroffen?

Betroffen sind Unternehmen, die Hoppscotch-Backend in selbst gehosteten Umgebungen bis einschliesslich Version 2026.4.1 einsetzen. Ein Angreifer kann die Schwachstelle ausnutzen, wenn er eine frische Installation erreicht, bevor die Erstkonfiguration abgeschlossen ist oder wenn noch keine Benutzer existieren. Durch die Manipulation des JWT_SECRET kann ein Angreifer Tokens für beliebige Benutzer, einschliesslich Administratoren, fälschen und so die vollständige Kontrolle über den Server erlangen.

Wie kritisch ist es?

Die Schwachstelle wird mit einem CVSS-Score von 10.0 als 'kritisch' eingestuft, was die höchste Risikostufe darstellt. Ein erfolgreicher Angriff führt zur vollständigen Kompromittierung des Servers. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 9 %. Aktive Ausnutzungen sind laut CISA KEV derzeit nicht bekannt.

Was ist jetzt zu tun?

Es wird dringend empfohlen, alle betroffenen Hoppscotch-Installationen umgehend auf die Version 2026.5.0 oder neuer zu aktualisieren. Prüfen Sie, ob Ihre Hoppscotch-Instanz von aussen erreichbar ist und ob die Erstkonfiguration abgeschlossen wurde. Falls Sie Hoppscotch einsetzen, sollten Sie die Systemprotokolle auf ungewöhnliche Aktivitäten überprüfen.

Quellen: NVD (CVE-2026-50160), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.