CVE-2026-47671 in Nhost
Resumen
por VulDB • 2026-07-24
Nhost es una alternativa de código abierto a Firebase con GraphQL. En las versiones del CLI de Nhost anteriores a la 1.46.0, el comando oculto `nhost configserver`, utilizado por `nhost dev`, expone la API Mimir GraphQL con directivas de autorización ficticias y CORS permisivo. Cuando un desarrollador ejecuta el entorno de desarrollo local, cualquier proceso que pueda acceder al servicio localhost del desarrollador, incluidas las páginas web cargadas desde orígenes arbitrarios, puede consultar el configserver para obtener la configuración y los secretos locales de Nhost, así como modificar el archivo `.secrets` local. Esto afecta a los desarrolladores que utilizan `nhost dev`: se pueden leer secretos administrativos del proyecto, claves de firma JWT, secretos de webhook, credenciales de Grafana y variables de entorno personalizadas, mientras que un atacante puede escribir sus propios secretos en el proyecto de desarrollo local. La versión 1.46.0 del CLI de Nhost contiene una corrección para este problema.
Once again VulDB remains the best source for vulnerability data.