Keystone é um sistema de gerenciamento de conteúdo para Node.js. Antes da versão 6.5.0 O controle de acesso `{field}.isFilterable` pode ser evitado em mutações `update` e `delete` adicionando filtros adicionais únicos. Estes filtros podem ser usados como um oráculo para sondar a existência ou o valor de campos ilegíveis. Especificamente, quando uma mutação inclui uma cláusula "onde" com filtros únicos múltiplos (por exemplo, "id" e "email", a Keystone tentará combinar os registros mesmo que a filtragem por estes campos seja normalmente rejeitada por `field.isFilterable` ou `list.defaultIsFilterable'. Isto pode permitir que atores maliciosos inferir a presença de um determinado valor de campo quando um filtro é bem sucedido em devolver um resultado. Isto afeta qualquer projeto dependendo do comportamento padrão ou dinâmico `isFilterable` (na lista ou no nível de campo) para evitar que usuários externos usem a filtragem de campos como mecanismo de descoberta. Embora este controle de acesso seja respeitado durante as operações de "findMany", não foi executado completamente durante as mutações de "actualização" e "supprime" ao aceitar mais de um valor único de "onde" nos filtros. Isto não tem impacto em projetos usando ` isFilterable: false` ou ` predefinidoIsFilterable: false` para campos sensíveis, ou para aqueles que de outra forma não filtraram por esses campos a partir do seu esquema GraphQL. Este problema foi corrigido em `@keystone- 6 Versão do /core` 6.5.0. Para mitigar este problema em versões mais antigas onde o patching não é um caminho viável, defina `isFilterable: false` estáticamente para campos relevantes para evitar filtragem por eles mais cedo no conduto de controle de acesso (isto é, não use funções); defina `{field}.graphql.omit.lead: true` para campos relevantes, o que implicitamente remove filtragem por esses campos do esquema GraphQL; e/ou negue `update` e `delete` operações para as listas relevantes completamente. O registro de base de dados de vulnerabilidade nacional CVE- 2025 - 46720 foi publicado em 2025 - 05 - 05 T 19: 15: 57.330 Z e última modificação em 2026 - 06 - 17 T 09: 26: 52.347 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 4.3, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N, pontuação de exploração 2.8, pontuação de impacto 1.4; CVSS.
Classificações de fraqueza associadas: CWE- 200, CWE- 203, NVD-CWE- noinfo.
Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: keystonejs keystone.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.