原文

NhostはGraphQLを備えたオープンソースのFirebase代替サービスです。1.46.0未満のバージョンのNhost CLIでは、`nhost dev`によって使用される隠しコマンド`nhost configserver`が、ダミーの認可ディレクティブと許容的なCORS設定によりMimir GraphQL APIを公開しています。開発者がローカルの開発環境を実行している場合、任意のオリジンから読み込まれたウェブページを含む開発者のlocalhostサービスにアクセスできるあらゆるプロセスが、configserverに対してローカルNhostの設定情報やシークレットを問い合わせたり、ローカルの`.secrets`ファイルを変更したりすることが可能です。これは`nhost dev`を使用する開発者に影響し、プロジェクト管理者のシークレットやJWT署名キー、Webhookシークレット、Grafanaの認証情報、およびカスタム環境変数が読み取られ、攻撃者がコントロールするシークレットをローカルの開発プロジェクトに書き込める可能性があります。Nhost CLIの1.46.0バージョンでこの問題は修正されています。