Keystone vulnerable to `graphql.maxTake` bypass with negative `take`
Summary
The value of graphql.maxTake can be bypassed by providing a negative input.
This can be used to exceed the developer's intended graphql.maxTake value, allowing queries to return results in excess of the graphql.maxTake value set.
Impact
This affects any project relying on graphql.maxTake to bound the number of items returned per query.
Patches
This issue has been patched in @keystone-6/core version 6.5.3.
If you cannot patch, you can workaround this by restricting take input values in your GraphQL queries to the bounded value, or by blocking negative values.
Credit
This issue was found by Haxset's Security Scanner and validated by their team.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @keystone-6/core | < 6.5.3 | 6.5.3 |
Referencias
- https://github.com/keystonejs/keystone/security/advisories/GHSA-cqmq-8755-7xvh
- https://github.com/keystonejs/keystone/pull/9859
- https://github.com/keystonejs/keystone/commit/9fb88b246950ce4de754a43fe6416f20403577b1
- https://github.com/keystonejs/keystone
- https://github.com/keystonejs/keystone/releases/tag/@keystone-6/core@6.5.3
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-20, CWE-480- Plataforma
- npm
- Paquete
@keystone-6/core- Publicada
- 21.08.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-cqmq-8755-7xvh - CC BY 4.0
Historial de vulnerabilidades: @keystone-6/core
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 8
- Primera → última
- 10.2022 08.2026
- Sin corrección
- 2
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 1
- Media 2
- Baja 3
Divulgaciones por año
- 2022: 2
- 2023: 2
- 2024: 0
- 2025: 1
- 2026: 3
-
Keystone vulnerable to `graphql.maxTake` bypass with negative `take` esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.