Zaloguj się
Deutsch English Español Polski
Wysoka

Payload vulnerable to API key disclosure through ordinary document reads

  • Ujawniono: 06.10.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

Users with read access to other user documents could access their active API keys. An exposed key grants the target account’s permissions until rotated or disabled.

You are affected if:

  • An authentication collection enables useAPIKey.
  • Users have read access to other user documents containing active API keys.

Patches

Users should upgrade payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

Workarounds

Disable useAPIKey or restrict users to reading only their own authentication document. Rotate any API key that may have been exposed.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm payload >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-201, CWE-862
Platforma
npm
Paczka
payload
Ujawniono
06.10.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-238x-w2j9-gwwr - CC BY 4.0

Historia podatności: payload

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (29) w archiwum
Wszystkich wpisów
29
Pierwsza → ostatnia
04.2022 10.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 13
  • Średnia 11

Ujawnienia w latach

Istotność:
  1. Payload: Remote Code Execution through first-register
    Wysoka · 8.1 CVE-2026-105858 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  2. Payload external upload trust validation issue
    Wysoka CVE-2026-105861 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  3. Payload: Bypassed sanitization of user uploaded SVGs
    Wysoka · 8.7 CVE-2026-105862 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  4. Payload: Incomplete validation during the upload file lifecycle
    Wysoka · 8.1 CVE-2026-105865 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  5. Payload: Uploaded XML files could execute same-origin JavaScript
    Wysoka CVE-2026-105868 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  6. Payload: Unauthorized update to collection documents
    Krytyczna · 9.8 CVE-2026-105859 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  7. Payload authentication token field handling issue
    Krytyczna CVE-2026-105863 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  8. Payload didn't enforce field-level password update restrictions
    Wysoka CVE-2026-105855 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  9. Payload: ReDoS in Multipart Content-Type Validation
    Wysoka CVE-2026-105854 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  10. Payload vulnerable to API key disclosure through ordinary document reads ten wpis
    Wysoka CVE-2026-105849 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  11. Payload: Token refresh and password reset responses may expose restricted user fields
    Wysoka CVE-2026-105853 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  12. Payload: SQL Injection in SQLite and Postgres
    Krytyczna · 9.8 CVE-2026-105845 >= 3.0.0, < 3.88.0, >= 4.0.0-canary.0, < 4.0.0-canary.27 3.88.0, 4.0.0-canary.27
  13. Payload: Polymorphic join queries could disclose hidden fields
    Wysoka CVE-2026-105847 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  14. Payload has Authenticated SSRF via Upload Functionality
    Wysoka · 7.7 CVE-2026-34746 < 3.79.1 3.79.1
  15. Payload has an SQL Injection via Query Handling
    Wysoka · 8.5 CVE-2026-34747 < 3.79.1 3.79.1
  16. Payload: Pre-Authentication Account Takeover via Parameter Injection in Password Recovery
    Krytyczna · 9.1 CVE-2026-34751 < 3.79.1 3.79.1
  17. Hidden fields can be leaked on readable collections in Payload
    Wysoka · 7.4 CVE-2023-30843 < 1.7.0 1.7.0
  18. Unrestricted Upload of File with Dangerous Type in Payload
    Krytyczna · 9.8 CVE-2022-27952 < 0.15.1 0.15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.