@keystone-6/auth Open Redirect vulnerability
Summary
There is an open redirect in the @keystone-6/auth package, where the redirect leading / filter can be bypassed.
Impact
Users may be redirected to domains other than the relative host, thereby it might be used by attackers to re-direct users to an unexpected location.
Mitigations
- Don't use the
@keystone-6/authpackage
References
- CWE-601: URL Redirection to Untrusted Site ('Open Redirect')
- OWASP: Unvalidated Redirects and Forwards Cheat Sheet
Similar Vulnerability Reports
Credits
Thanks to morioka12 for reporting this problem.
If you have any questions around this security advisory, please don't hesitate to contact us at security@keystonejs.com, or open an issue on GitHub.
If you have a security flaw to report for any software in this repository, please see our SECURITY policy.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @keystone-6/auth | < 7.0.0 | 7.0.0 |
Referencias
- Vector CVSS
CVSS:3.1/AV:A/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:N- Debilidad (CWE)
CWE-601- Plataforma
- npm
- Paquete
@keystone-6/auth- Publicada
- 14.06.2023
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-jqxr-vjvv-899m - CC BY 4.0
Historial de vulnerabilidades: @keystone-6/auth
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 01.2022 06.2023
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 1
Divulgaciones por año
- 2022: 1
- 2023: 1
- 2024: 0
- 2025: 0
- 2026: 0
-
@keystone-6/auth Open Redirect vulnerability esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.