CVE-2022-39382

Keystone, GraphQL ve React ile oluşturulmuş Node.js için bir headless CMS'dir. Production build'lerinde güvenlik açısından hassas işlevleri tetiklemek için `NODE_ENV` kullanan `@keystone-6/[email protected] || 3.0.1` kullanıcıları, ortam değişkenleriniz ne olursa olsun, kullanıcı kodu için `NODE_ENV` değerinin `"development"` olarak satır içine yerleştirilmesine karşı savunmasızdır. Kullanıcı kodunuzda güvenlik açısından hassas işlevleri tetiklemek için `NODE_ENV` kullanmıyorsanız, bu güvenlik açığından etkilenmezsiniz. Belirli davranışları (optimizasyonlar, güvenlik veya diğerleri) tetiklemek için `NODE_ENV` kullanan tüm bağımlılıklar, ortamınızın yapılandırılmış `NODE_ENV` değişkenine uymaya devam etmelidir. `node_modules` içinde bulunan uygulamanın bağımlılıkları (`@keystone-6/core` dahil), genellikle bu sürecin bir parçası olarak derlenmez ve dolayısıyla etkilenmemelidir. Bu varsayımı, `NODE_ENV=production yarn keystone start` komutunun `statelessSessions` kullanılırken hala güvenli çerezler kullandığını doğrulayarak test ettik. Bu güvenlik açığı @keystone-6/[email protected] sürümünde düzeltilmiştir; #8063 kapsamında bu açık için regresyon testleri eklenmiştir.