CVE-2026-47671 in Nhost
Tóm tắt
Bởi VulDB • 23/07/2026
Nhost là một giải pháp thay thế Firebase mã nguồn mở với GraphQL. Trong các phiên bản của Nhost CLI trước 1.46.0, lệnh `nhost configserver` ẩn được sử dụng bởi `nhost dev` đã expose API Mimir GraphQL với các chỉ thị ủy quyền giả mạo (dummy authorization directives) và CORS cho phép truy cập rộng rãi. Khi một nhà phát triển đang chạy môi trường phát triển cục bộ, bất kỳ tiến trình nào có thể tiếp cận dịch vụ localhost của nhà phát triển, bao gồm cả trang web được tải từ nguồn gốc tùy ý, đều có thể truy vấn configserver để lấy cấu hình Nhost cục bộ và các bí mật (secrets), cũng như thay đổi tệp `.secrets` cục bộ. Điều này ảnh hưởng đến các nhà phát triển sử dụng `nhost dev`: các bí mật quản trị dự án, khóa ký JWT, bí mật webhook, thông tin đăng nhập Grafana và các biến môi trường tùy chỉnh có thể bị đọc, đồng thời kẻ tấn công có thể ghi các bí mật do chúng kiểm soát vào dự án phát triển cục bộ. Phiên bản 1.46.0 của Nhost CLI chứa bản sửa lỗi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.