CVE-2026-34200

WysokieCVSS 7.5

Opublikowano: 31/03/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Nhost przed wersją 1.41.0 zawiera podatność w serwerze MCP CLI, gdy jest skonfigurowany do nasłuchiwania na porcie sieciowym. Nie stosuje uwierzytelniania przychodzącego i nie egzekwuje ścisłej polityki CORS. Złośliwa strona internetowa odwiedzona na tym samym komputerze może wysyłać żądania cross-origin do serwera MCP i wywoływać uprzywilejowane narzędzia przy użyciu lokalnie skonfigurowanych poświadczeń dewelopera.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia na serwerze MCP, wykorzystując poświadczenia dewelopera, co może prowadzić do naruszenia bezpieczeństwa aplikacji.

Rekomendacja

Zaktualizuj Nhost do wersji 1.41.0 lub nowszej. Domyślna konfiguracja nie jest podatna.

Inne podatności w Nhost

CVE-2026-41574Krytyczne
Nhost, alternatywa dla Firebase, przed wersją 0.49.1 automatycznie łączył tożsamość OAuth z istniejącym kontem Nhost, gdy adresy e-mail się zgadzały. Problem polegał na tym, że niektóre adaptery dostawców niepoprawnie wypełniały pole weryfikacji e-maila, co mogło prowadzić do nieautoryzowanego dostępu.

Oryginalny opis (angielski, źródło NVD)

Nhost is an open source Firebase alternative with GraphQL. Prior to version 1.41.0, The Nhost CLI MCP server, when explicitly configured to listen on a network port, applies no inbound authentication and does not enforce strict CORS. This allows a malicious website visited on the same machine to issue cross-origin requests to the MCP server and invoke privileged tools using the developer's locally configured credentials. This vulnerability requires two explicit, non-default configuration steps to be exploitable. The default nhost mcp start configuration is not affected. This issue has been patched in version 1.41.0.