FICHE CVE

CVE-2026-34200

Publiée le 2026-03-31 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les serveurs MCP de Nhost CLI sont concernés s'ils ont été explicitement configurés pour écouter sur un port réseau. Un attaquant peut utiliser un site web malveillant pour inciter un utilisateur local à envoyer des requêtes cross-origin, permettant ainsi à l'attaquant d'exécuter des outils privilégiés en utilisant les identifiants du développeur. Cela n'est possible que si vous avez manuellement modifié la configuration par défaut pour autoriser l'écoute réseau et que la victime visite un site malveillant.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

Authentification manquante · CWE-306 CWE-942

Publiée2026-03-31

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Nhost is an open source Firebase alternative with GraphQL. Prior to version 1.41.0, The Nhost CLI MCP server, when explicitly configured to listen on a network port, applies no inbound authentication and does not enforce strict CORS. This allows a malicious website visited on the same machine to issue cross-origin requests to the MCP server and invoke privileged tools using the developer's locally configured credentials. This vulnerability requires two explicit, non-default configuration steps to be exploitable. The default nhost mcp start configuration is not affected. This issue has been patched in version 1.41.0.