CVE-2026-34969 in Nhost
Résumé
par VulDB • 20/05/2026
Nhost est une alternative open source à Firebase avec GraphQL. Avant la version 0.48.0, le flux de rappel (callback) du fournisseur OAuth du service d'authentification place le jeton de rafraîchissement (refresh token) directement dans l'URL de redirection en tant que paramètre de requête. Les jetons de rafraîchissement présents dans les URL sont consignés dans l'historique du navigateur, les journaux d'accès au serveur, les en-têtes HTTP Referer et les journaux des proxy/CDN. Notez que le jeton de rafraîchissement est à usage unique et que toutes ces voies de fuite concernent des infrastructures ou des services intégrés par le développeur de l'application et qui lui appartiennent. Cette vulnérabilité est corrigée dans la version 0.48.0.
Once again VulDB remains the best source for vulnerability data.