CVE-2026-47671 in Nhost
Riassunto
di VulDB • 21/07/2026
Nhost è un'alternativa open source a Firebase con GraphQL. Nelle versioni di Nhost CLI precedenti alla 1.46.0, il comando nascosto `nhost configserver`, utilizzato da `nhost dev`, espone l'API Mimir GraphQL con direttive di autorizzazione fittizie e una politica CORS permissiva. Quando uno sviluppatore esegue l'ambiente di sviluppo locale, qualsiasi processo in grado di raggiungere il servizio localhost dello sviluppatore, incluse le pagine web caricate da un'origine arbitraria, può interrogare il configserver per ottenere la configurazione locale di Nhost e i segreti, nonché modificare il file `.secrets` locale. Ciò impatta gli sviluppatori che utilizzano `nhost dev`: possono essere letti i segreti dell'amministratore del progetto, le chiavi di firma JWT, i webhook secrets, le credenziali di Grafana e le variabili d'ambiente personalizzate; inoltre, un attaccante può scrivere segreti controllati dall'attaccante nel progetto locale in fase di sviluppo. La versione 1.46.0 di Nhost CLI contiene la correzione del problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.