CVE-2026-47671 in Nhost
요약
\~에 의해 VulDB • 2026. 07. 21.
Nhost는 GraphQL을 지원하는 오픈 소스 Firebase 대안입니다. 버전 1.46.0 이전의 Nhost CLI에서 `nhost dev`에 의해 사용되는 숨겨진 명령어인 `nhost configserver`는 더미 인증 지시문과 관대한 CORS 설정으로 Mimir GraphQL API를 노출합니다. 개발자가 로컬 개발 환경을 실행 중일 때, 임의의 출처에서 로드된 웹 페이지를 포함하여 개발자의 localhost 서비스에 접근할 수 있는 모든 프로세스가 configserver에 쿼리하여 로컬 Nhost 구성 및 비밀 정보를 조회하고 로컬 `.secrets` 파일을 수정할 수 있습니다. 이는 `nhost dev`를 사용하는 개발자에게 영향을 미치며, 프로젝트 관리자용 비밀 정보(JWT 서명 키, 웹훅 시크릿, Grafana 자격 증명, 사용자 정의 환경 변수 등)가 읽힐 수 있고 공격자가 제어하는 비밀 정보가 로컬 개발 프로젝트에 기록될 수 있습니다. Nhost CLI 버전 1.46.0에는 이 문제가 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.