CVE-2022-39382

Keystone, Node.js üçün GraphQL və React ilə qurulmuş headless CMS-dir. Production build-lərində təhlükəsizlik baxımından həssas funksionallığı aktivləşdirmək üçün `NODE_ENV`-dən istifadə edən `@keystone-6/[email protected] || 3.0.1` istifadəçiləri, mühit dəyişənlərindən asılı olmayaraq, istifadəçi kodu üçün `NODE_ENV`-nin `"development"` olaraq daxil edilməsi zəifliyinə məruz qalırlar. Əgər siz təhlükəsizlik baxımından həssas funksionallığı tetikləmək üçün istifadəçi kodunuzda `NODE_ENV`-dən istifadə etmirsinizsə, bu zəiflik sizə təsir etmir. Müəyyən davranışları (optimallaşdırma, təhlükəsizlik və ya digərləri) aktivləşdirmək üçün `NODE_ENV`-dən istifadə edən bütün asılılıqlar hələ də mühitinizin konfiqurasiya edilmiş `NODE_ENV` dəyişəninə riayət etməlidir. Tətbiqin `node_modules` qovluğunda yerləşən asılılıqları (o cümlədən `@keystone-6/core`) adətən bu prosesin bir hissəsi kimi kompilyasiya edilmir və buna görə də onlara təsir etməməlidir. Biz `statelessSessions` istifadə edərkən `NODE_ENV=production yarn keystone start` əmrinin hələ də təhlükəsiz kukilərdən istifadə etdiyini yoxlayaraq bu fərziyyəni test etmişik. Bu zəiflik @keystone-6/[email protected] versiyasında aradan qaldırılmışdır, #8063 nömrəli commit-də bu zəiflik üçün reqressiya testləri əlavə edilmişdir.