Aikido Attack、Hoppscotchで複数の0-day脆弱性を発見

【なぜ重要か】 オープンソースAPI開発ツールのHoppscotch（月間10万ユーザー）で高深刻度の脆弱性が複数発見され、アカウント乗っ取りやXSSによるデータ窃取が可能な状態でした。セルフホスト環境を利用している組織にとって、即座の対応が必要な重要なセキュリティ情報です。

【ポイント】

• オープンリダイレクト脆弱性：デスクトップアプリ認証時のredirect_uri検証不備により、http://localhost.evil.comのような悪意あるドメインに認証トークンが送信され、アカウント乗っ取りが可能（CVSS 8.5）
• Mock Server経由のStored XSS：GraphQL APIでContent-Typeヘッダーをtext/htmlに設定することで、UI制限を回避してXSSペイロードを注入し、ユーザーデータの窃取・改ざんが可能（CVSS 8.5）
• リクエスト移動時のアクセス制御不備：nextRequestIDをnullに設定することで宛先コレクションのチーム検証がスキップされ、他チームのコレクションにリクエストを不正注入可能（CVSS 6.0）
• 全ての脆弱性はバージョン2026.2.1以下に存在し、2026.3.0で修正済み
• 脆弱性は責任を持って開示され、適切なURL解析、CSPによるサンドボックス化、認証チェック追加により解決

【まとめ】 Hoppscotchセルフホスト環境を利用している場合は、直ちにバージョン2026.3.0以上にアップデートしてセキュリティリスクを回避する必要があります。