Anmelden
Deutsch English Español Polski
Hoch

Payload: Incomplete validation during the upload file lifecycle

  • Veröffentlicht: 07.10.2026
  • Aktualisiert: 11.10.2026 10:22

Impact

Under certain conditions, an authenticated user with permission to modify uploads could cause unintended files to be removed during file cleanup. This may result in data loss or service disruption.

You are affected if:

  • You use Payload upload collections with local file storage.
  • Untrusted authenticated users can update or delete uploads.

Deployments that restrict upload management to trusted users are less exposed.

Patches

Payload now validates uploaded filenames and ensures file cleanup remains within the configured upload directory.

Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

Workarounds

Restrict upload update and deletion operations to trusted users and validate submitted filenames. These measures are temporary mitigations. Upgrading to a patched version is recommended.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket payload < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34

Verweise

CVSS-Wert 8.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Schwäche (CWE)
CWE-22, CWE-73
Plattform
npm
Paket
payload
Veröffentlicht
07.10.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p223-2wr2-j562 - CC BY 4.0

Schwachstellenhistorie: payload

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (29) im Archiv
Einträge insgesamt
29
Erste → letzte
04.2022 10.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 5
  • Hoch 13
  • Mittel 11

Veröffentlichungen pro Jahr

Schweregrad:
  1. Payload: Remote Code Execution through first-register
    Hoch · 8.1 CVE-2026-105858 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  2. Payload external upload trust validation issue
    Hoch CVE-2026-105861 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  3. Payload: Bypassed sanitization of user uploaded SVGs
    Hoch · 8.7 CVE-2026-105862 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  4. Payload: Incomplete validation during the upload file lifecycle dieser Eintrag
    Hoch · 8.1 CVE-2026-105865 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  5. Payload: Uploaded XML files could execute same-origin JavaScript
    Hoch CVE-2026-105868 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  6. Payload: Unauthorized update to collection documents
    Kritisch · 9.8 CVE-2026-105859 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  7. Payload authentication token field handling issue
    Kritisch CVE-2026-105863 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  8. Payload didn't enforce field-level password update restrictions
    Hoch CVE-2026-105855 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  9. Payload: ReDoS in Multipart Content-Type Validation
    Hoch CVE-2026-105854 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  10. Payload vulnerable to API key disclosure through ordinary document reads
    Hoch CVE-2026-105849 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  11. Payload: Token refresh and password reset responses may expose restricted user fields
    Hoch CVE-2026-105853 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  12. Payload: SQL Injection in SQLite and Postgres
    Kritisch · 9.8 CVE-2026-105845 >= 3.0.0, < 3.88.0, >= 4.0.0-canary.0, < 4.0.0-canary.27 3.88.0, 4.0.0-canary.27
  13. Payload: Polymorphic join queries could disclose hidden fields
    Hoch CVE-2026-105847 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  14. Payload has Authenticated SSRF via Upload Functionality
    Hoch · 7.7 CVE-2026-34746 < 3.79.1 3.79.1
  15. Payload has an SQL Injection via Query Handling
    Hoch · 8.5 CVE-2026-34747 < 3.79.1 3.79.1
  16. Payload: Pre-Authentication Account Takeover via Parameter Injection in Password Recovery
    Kritisch · 9.1 CVE-2026-34751 < 3.79.1 3.79.1
  17. Hidden fields can be leaked on readable collections in Payload
    Hoch · 7.4 CVE-2023-30843 < 1.7.0 1.7.0
  18. Unrestricted Upload of File with Dangerous Type in Payload
    Kritisch · 9.8 CVE-2022-27952 < 0.15.1 0.15.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.