Zaloguj się
Deutsch English Español Polski
Średnia

Payload: Password hashes use insufficient PBKDF2 iterations

  • Ujawniono: 06.10.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

The password-hashing configuration used a lower work factor than what is recommended.

Patches

Payload now uses stronger password-hashing parameters and transparently upgrades older hashes following a successful login.

Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

Workarounds

Upgrading is recommended. Until you can upgrade, protect database copies and backups from unauthorized access and require strong, unique passwords.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm payload >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:L/AC:H/AT:P/PR:H/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-916
Platforma
npm
Paczka
payload
Ujawniono
06.10.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-q6mq-ch85-c8mm - CC BY 4.0

Historia podatności: payload

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (29) w archiwum
Wszystkich wpisów
29
Pierwsza → ostatnia
04.2022 10.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 13
  • Średnia 11

Ujawnienia w latach

Istotność:
  1. Payload: Remote Code Execution through first-register
    Wysoka · 8.1 CVE-2026-105858 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  2. Payload external upload trust validation issue
    Wysoka CVE-2026-105861 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  3. Payload: Bypassed sanitization of user uploaded SVGs
    Wysoka · 8.7 CVE-2026-105862 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  4. Payload: Incomplete validation during the upload file lifecycle
    Wysoka · 8.1 CVE-2026-105865 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  5. Payload: Uploaded XML files could execute same-origin JavaScript
    Wysoka CVE-2026-105868 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  6. Payload: Unauthorized update to collection documents
    Krytyczna · 9.8 CVE-2026-105859 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  7. Payload authentication token field handling issue
    Krytyczna CVE-2026-105863 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  8. Payload didn't enforce field-level password update restrictions
    Wysoka CVE-2026-105855 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  9. Payload: ReDoS in Multipart Content-Type Validation
    Wysoka CVE-2026-105854 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  10. Payload vulnerable to API key disclosure through ordinary document reads
    Wysoka CVE-2026-105849 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  11. Payload: Token refresh and password reset responses may expose restricted user fields
    Wysoka CVE-2026-105853 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  12. Payload: SQL Injection in SQLite and Postgres
    Krytyczna · 9.8 CVE-2026-105845 >= 3.0.0, < 3.88.0, >= 4.0.0-canary.0, < 4.0.0-canary.27 3.88.0, 4.0.0-canary.27
  13. Payload: Polymorphic join queries could disclose hidden fields
    Wysoka CVE-2026-105847 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  14. Payload: Password hashes use insufficient PBKDF2 iterations ten wpis
    Średnia CVE-2026-105804 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  15. Payload has Authenticated SSRF via Upload Functionality
    Wysoka · 7.7 CVE-2026-34746 < 3.79.1 3.79.1
  16. Payload has an SQL Injection via Query Handling
    Wysoka · 8.5 CVE-2026-34747 < 3.79.1 3.79.1
  17. Payload: Pre-Authentication Account Takeover via Parameter Injection in Password Recovery
    Krytyczna · 9.1 CVE-2026-34751 < 3.79.1 3.79.1
  18. Hidden fields can be leaked on readable collections in Payload
    Wysoka · 7.4 CVE-2023-30843 < 1.7.0 1.7.0
  19. Unrestricted Upload of File with Dangerous Type in Payload
    Krytyczna · 9.8 CVE-2022-27952 < 0.15.1 0.15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.