CVE-2026-47671 in Nhost
الملخص
بحسب VulDB • 24/07/2026
Nhost هو بديل مفتوح المصدر لـ Firebase مع GraphQL. في إصدارات Nhost CLI السابقة للإصدار 1.46.0، تعرض الأداة المخفية `nhost configserver` المستخدمة بواسطة `nhost dev` واجهة Mimir GraphQL باستخدام توجيهات تفويض وهمية (dummy authorization directives) وسياسات CORS متساهلة. عندما يقوم المطور بتشغيل بيئة التطوير المحلية، يمكن لأي عملية قادرة على الوصول إلى خدمة localhost الخاصة بالمطور، بما في ذلك صفحة ويب محملة من أصل عشوائي، استعلام الـ configserver للحصول على تكوين Nhost المحلي والأسرار المخزنة فيه (secrets)، وإجراء تعديلات (mutations) على ملف `.secrets` المحلي. يؤثر هذا الأمر على المطورين الذين يستخدمون `nhost dev`: حيث يمكن قراءة أسرار مسؤول المشروع ومفاتيح توقيع JWT وأساليب الويب هوك (webhook secrets) وبيانات اعتماد Grafana والمتغيرات البيئية المخصصة، ويمكن للهاكر كتابة أسرار يتحكم فيها إلى مشروع التطوير المحلي. يحتوي الإصدار 1.46.0 من Nhost CLI على إصلاح لهذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.