CVE-2026-34200
Açıklama
Nhost, GraphQL destekli açık kaynaklı bir Firebase alternatifidir. Versiyon 1.41.0 öncesinde, Nhost CLI MCP sunucusu, belirli bir ağ portunu dinleyecek şekilde açıkça yapılandırıldığında, herhangi bir gelen kimlik doğrulaması uygulamaz ve katı CORS kurallarını zorunlu kılmaz. Bu durum, aynı makinede ziyaret edilen kötü amaçlı bir web sitesinin MCP sunucusuna kökenler arası (cross-origin) istekler göndermesine ve geliştiricinin yerel olarak yapılandırılmış kimlik bilgilerini kullanarak ayrıcalıklı araçları çağırmasına olanak tanır. Bu zafiyetin istismar edilebilmesi için varsayılan olmayan iki açık yapılandırma adımı gereklidir. Varsayılan nhost mcp start yapılandırması etkilenmemektedir. Bu sorun versiyon 1.41.0 ile düzeltilmiştir.
Nasıl düzeltilir
- nhost cli1.41.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nhost cli | v < 1.41.0 | 1.41.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.