Payload: Client uploads could overwrite S3 objects
Impact
An authenticated user could overwrite an existing S3 object belonging to another upload collection, bypassing that collection’s access controls and prior file validation.
You are affected if ALL of these are true:
- Client uploads are enabled for multiple collections that share an S3 bucket.
- useCompositePrefixes is not configured or is set to
false.
Patches
Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.
Workarounds
Disable client uploads until you can upgrade.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @payloadcms/storage-s3 | < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 | 3.90.0, 4.0.0-canary.34 |
Referencias
- https://github.com/payloadcms/payload/security/advisories/GHSA-7vg8-29qx-jgj8
- https://nvd.nist.gov/vuln/detail/CVE-2026-105867
- https://github.com/payloadcms/payload/commit/2df8238fbf17edfce335c399b90bf524ba9906a2
- https://github.com/payloadcms/payload
- https://github.com/payloadcms/payload/releases/tag/v3.90.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-639- Plataforma
- npm
- Paquete
@payloadcms/storage-s3- Publicada
- 07.10.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-7vg8-29qx-jgj8 - CC BY 4.0
Historial de vulnerabilidades: @payloadcms/storage-s3
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 04.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 1
Divulgaciones por año
- 2026: 2
-
Payload: Client uploads could overwrite S3 objects esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.