Keystone vulnerable to `graphql.maxTake` bypass with negative `take`

高 7.5CVE-2026-63421 · GHSA-cqmq-8755-7xvh · 21/08/2026 公開 · 12/10/2026 更新

要点

CVE-2026-63421 は @keystone-6/core に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.67%（全脆弱性の 52.0% より高い）。
対処：6.5.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
@keystone-6/core npm	`< 6.5.3`	`6.5.3`

概要

Summary

The value of graphql.maxTake can be bypassed by providing a negative input. This can be used to exceed the developer's intended graphql.maxTake value, allowing queries to return results in excess of the graphql.maxTake value set.

Impact

This affects any project relying on graphql.maxTake to bound the number of items returned per query.

Patches

This issue has been patched in @keystone-6/core version 6.5.3.

If you cannot patch, you can workaround this by restricting take input values in your GraphQL queries to the bounded value, or by blocking negative values.

Credit

This issue was found by Haxset's Security Scanner and validated by their team.

NVD の説明

Keystone is a content management system for Node.js. Prior to 6.5.3, the findMany resolver in packages/core/src/lib/core/queries/resolvers.ts compares the signed take argument directly with graphql.maxTake, allowing a remote unauthenticated GraphQL client to provide a negative take value whose magnitude exceeds the configured bound. The bypass also applies to relationship queries and can return more records than the developer intended, potentially exhausting service resources. This issue is fixed in version 6.5.3.

参考情報

keystonejs/keystone security advisory · WEB
keystonejs/keystone#9859 · WEB
keystonejs/keystone commit 9fb88b2 · WEB
keystonejs/keystone · PACKAGE
keystonejs/keystone release @keystone-6 · WEB

@keystone-6/core のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

@keystone-6/core

npm

< 6.5.3

6.5.3

概要