CVE-2026-47671
Təsvir
Nhost, GraphQL ilə təmin edilmiş açıq mənbəli Firebase alternatividir. Nhost CLI-ın 1.46.0 versiyasından əvvəlki versiyalarında, `nhost dev` tərəfindən istifadə edilən gizli `nhost configserver`, Mimir GraphQL API-ni saxta avtorizasiya direktivləri və geniş icazəli CORS ilə təqdim edir. Tərtibatçı lokal tərtibat mühitini işə saldıqda, tərtibatçının localhost xidmətinə çata bilən hər hansı proses (o cümlədən ixtiyari mənşədən yüklənmiş veb səhifə), yerli Nhost konfiqurasiyasını və gizli məlumatları (secrets) sorğulamaq üçün configserver-ə müraciət edə və lokal `.secrets` faylını dəyişdirə bilər. Bu, `nhost dev` istifadə edən tərtibatçılara təsir göstərir: layihə administratorunun gizli məlumatları, JWT imzalama açarları, webhook gizli məlumatları, Grafana etibarnamələri və xüsusi mühit dəyişənləri oxuna bilər və hücumçu tərəfindən idarə olunan gizli məlumatlar lokal tərtibat layihəsinə yazıla bilər. Nhost CLI-ın 1.46.0 versiyasında bu problem aradan qaldırılıb.
Necə düzəltmək olar
- nhost cli1.46.0 və ya daha yeni versiya
- github.com/nhost/nhost0.0.0-20260518172022-e407511627d2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nhost cli | v < 1.46.0 | 1.46.0 |
| github.com/nhost/nhostGo | v < 0.0.0-20260518172022-e407511627d2 | 0.0.0-20260518172022-e407511627d2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.