🇰🇷 한글 설명
Nhost CLI 1.46.0 미만 버전에서 `nhost dev` 실행 시 사용되는 내부 configserver가 보안 설정이 미흡한 GraphQL API를 노출합니다. 이를 통해 로컬 개발 환경에 접근 가능한 프로세스나 웹 페이지가 프로젝트의 비밀 키, JWT 서명 키, 환경 변수 등을 탈취하거나 로컬 `.secrets` 파일을 변조할 수 있습니다.
💡 쉬운 설명
개발자가 Nhost로 코딩을 하고 있을 때, 악성 웹사이트에 접속하기만 해도 개발 중인 프로젝트의 중요한 비밀번호나 설정값을 해커가 몰래 훔쳐가거나 바꿀 수 있는 문제입니다. 개발 환경의 보안 문이 제대로 잠겨 있지 않아 발생하는 취약점입니다.
🇺🇸 원문 (English)
Nhost is an open source Firebase alternative with GraphQL. In versions of Nhost CLI prior to 1.46.0, the hidden `nhost configserver` used by `nhost dev` exposes the Mimir GraphQL API with dummy authorization directives and permissive CORS. When a developer is running the local development environment, any process that can reach the developer's localhost service, including a web page loaded from an arbitrary origin, can query the configserver for local Nhost configuration and secrets and can mutate the local `.secrets` file. This impacts developers using `nhost dev`: project admin secrets, JWT signing keys, webhook secrets, Grafana credentials, and custom environment variables can be read, and attacker-controlled secrets can be written to the local development project. Version 1.46.0 of Nhost CLI contains a fix.
📍 영향받는 시스템
Nhost CLI versions prior to 1.46.0
⚔️ 공격 벡터
로컬 호스트 서비스에 접근 가능한 임의의 웹 페이지 또는 프로세스를 통한 GraphQL API 쿼리 및 변조
🛡️ 대응 방법
Nhost CLI를 1.46.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.46.0보다 낮으면 취약한 상태이며, 1.46.0 이상이면 안전합니다.
nhost --version | grep -E '^[0-9]+(\.[0-9]+)*'