@Mockoon/commons-server: Unauthenticated admin API + wildcard CORS allows mock-state hijack and secret theft — GHSA-RQX4-3F6Q-3X2V

GitHub · GitHub · GHSA-RQX4-3F6Q-3X2V

ID
GHSA-RQX4-3F6Q-3X2V

Datum
2026-09-11

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.8

EPSS
0.00262

Zusammenfassung

## Summary Mockoon's admin API ([`commons-server/src/libs/server/admin-api.ts`](https://github.com/mockoon/mockoon/blob/4375a8f/packages/commons-server/src/libs/server/admin-api.ts)) is mounted on the same Express listener as the user-defined mock routes, **enabled by default** in every shipped runtime (commons-server, CLI, serverless), serves **`Access-Control-Allow-Origin: *` on every endpoint with all HTTP…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-11

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.8 von 10.
Gemeldeter EPSS-Wert: 0.00262.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: @mockoon/commons-server | npm: @mockoon/cli.

Produkt

npm: @mockoon/commons-server | npm: @mockoon/cli

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-RQX4-3F6Q-3X2V
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-11
Letzte Quellenaktivität: 2026-09-11
Weitere Kennungen: CVE-2026-59148
Kuratiert von: hlukh.ch