JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026209 NhostはGraphQLを備えたオープンソースのFirebase代替サービスです。1.46.0未満のバージョンのNhost CLIでは、`nhost dev`によって使用される隠しコマンド`nhost configserver`が、ダミーの認可ディレクティブと許容的なCORS設定によりMimir GraphQL APIを公開しています。開発者がローカルの開発環境を実行している場合、任意のオリジンから読み込まれたウェブページを含む開発者のlocalhostサービスにアクセスできるあらゆるプロセスが、configserverに対してローカルNhostの設定情報やシークレットを問い合わせたり、ローカルの`.secrets`ファイルを変更したりすることが可能です。これは`nhost dev`を使用する開発者に影響し、プロジェクト管理者のシークレットやJWT署名キー、Webhookシークレット、Grafanaの認証情報、およびカスタム環境変数が読み取られ、攻撃者がコントロールするシークレットをローカルの開発プロジェクトに書き込める可能性があります。Nhost CLIの1.46.0バージョンでこの問題は修正されています。 cpe:/a:nhost:cli https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026209.html Common Vulnerabilities and Exposures (CVE) CVE-2026-47671 https://www.cve.org/CVERecord?id=CVE-2026-47671 National Vulnerability Database (NVD) CVE-2026-47671 https://nvd.nist.gov/vuln/detail/CVE-2026-47671 GitHub Nhost CLI local configserver allows cross-origin unauthenticated read/write access to local development configuration and secrets Advisory nhost/nhost GitHub https://github.com/nhost/nhost/security/advisories/GHSA-64cj-qvx5-m4f3 JVNDB CWE-306 https://cwe.mitre.org/data/definitions/306.html 関連文書 feat(cli): harden local configserver against cross-origin and exfil access by dbarrosop Pull Request #4302 nhost/nhost GitHub https://github.com/nhost/nhost/pull/4302 関連文書 Release cli@1.46.0 nhost/nhost GitHub https://github.com/nhost/nhost/releases/tag/cli@1.46.0 関連文書 feat(cli): harden local configserver against cross-origin and exfil a… nhost/nhost@e407511 GitHub https://github.com/nhost/nhost/commit/e407511627d2c2c1137a70e9ca1ca31095d23479 2026-07-31T15:00:45+09:00 2026-07-31T15:00:45+09:00