CVE-2026-47671
Açıklama
Nhost, GraphQL içeren açık kaynaklı bir Firebase alternatifidir. Nhost CLI'ın 1.46.0 öncesindeki sürümlerinde, `nhost dev` tarafından kullanılan gizli `nhost configserver`, Mimir GraphQL API'sini sahte yetkilendirme direktifleri ve izin verici CORS ile dışarı açmaktadır. Bir geliştirici yerel geliştirme ortamını çalıştırdığında, rastgele bir kaynaktan yüklenen bir web sayfası da dahil olmak üzere geliştiricinin localhost servisine erişebilen herhangi bir işlem, yerel Nhost yapılandırması ve sırları için configserver'a sorgu gönderebilir ve yerel `.secrets` dosyasını değiştirebilir. Bu durum `nhost dev` kullanan geliştiricileri etkilemektedir: proje yönetici sırları, JWT imzalama anahtarları, webhook sırları, Grafana kimlik bilgileri ve özel ortam değişkenleri okunabilir ve saldırgan tarafından kontrol edilen sırlar yerel geliştirme projesine yazılabilir. Nhost CLI sürüm 1.46.0 bir düzeltme içermektedir.
Nasıl düzeltilir
- nhost cli1.46.0 ya da sonraki bir sürüm
- github.com/nhost/nhost0.0.0-20260518172022-e407511627d2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nhost cli | v < 1.46.0 | 1.46.0 |
| github.com/nhost/nhostGo | v < 0.0.0-20260518172022-e407511627d2 | 0.0.0-20260518172022-e407511627d2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.