Zaloguj się
Deutsch English Español Polski
Wysoka

Payload external upload trust validation issue

  • Ujawniono: 07.10.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

Under certain external upload configurations, Payload could send authentication data to a destination that was not verified as trusted. If the affected request contained a valid session, this could expose that session to an unintended recipient.

You are affected if:

  • You have enabled external URL-based upload retrieval, where authenticated requests can trigger it.

Patches

Payload now validates the destination before forwarding authentication data and reapplies that validation when a request changes destination.

Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

Workarounds

It is recommended to update all Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

If you cannot, a valid workaround exists:

  • Disable external URL-based upload retrieval where practical.
  • If you cannot disable it, configure the upload header filter to remove authentication data from outbound file requests.
  • Restrict access to the affected upload functionality.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm payload >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-200, CWE-346
Platforma
npm
Paczka
payload
Ujawniono
07.10.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-pj5h-5q6c-3pfx - CC BY 4.0

Historia podatności: payload

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (29) w archiwum
Wszystkich wpisów
29
Pierwsza → ostatnia
04.2022 10.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 13
  • Średnia 11

Ujawnienia w latach

Istotność:
  1. Payload: Remote Code Execution through first-register
    Wysoka · 8.1 CVE-2026-105858 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  2. Payload external upload trust validation issue ten wpis
    Wysoka CVE-2026-105861 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  3. Payload: Bypassed sanitization of user uploaded SVGs
    Wysoka · 8.7 CVE-2026-105862 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  4. Payload: Incomplete validation during the upload file lifecycle
    Wysoka · 8.1 CVE-2026-105865 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  5. Payload: Uploaded XML files could execute same-origin JavaScript
    Wysoka CVE-2026-105868 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  6. Payload: Unauthorized update to collection documents
    Krytyczna · 9.8 CVE-2026-105859 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  7. Payload authentication token field handling issue
    Krytyczna CVE-2026-105863 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  8. Payload didn't enforce field-level password update restrictions
    Wysoka CVE-2026-105855 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  9. Payload: ReDoS in Multipart Content-Type Validation
    Wysoka CVE-2026-105854 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  10. Payload vulnerable to API key disclosure through ordinary document reads
    Wysoka CVE-2026-105849 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  11. Payload: Token refresh and password reset responses may expose restricted user fields
    Wysoka CVE-2026-105853 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  12. Payload: SQL Injection in SQLite and Postgres
    Krytyczna · 9.8 CVE-2026-105845 >= 3.0.0, < 3.88.0, >= 4.0.0-canary.0, < 4.0.0-canary.27 3.88.0, 4.0.0-canary.27
  13. Payload: Polymorphic join queries could disclose hidden fields
    Wysoka CVE-2026-105847 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  14. Payload has Authenticated SSRF via Upload Functionality
    Wysoka · 7.7 CVE-2026-34746 < 3.79.1 3.79.1
  15. Payload has an SQL Injection via Query Handling
    Wysoka · 8.5 CVE-2026-34747 < 3.79.1 3.79.1
  16. Payload: Pre-Authentication Account Takeover via Parameter Injection in Password Recovery
    Krytyczna · 9.1 CVE-2026-34751 < 3.79.1 3.79.1
  17. Hidden fields can be leaked on readable collections in Payload
    Wysoka · 7.4 CVE-2023-30843 < 1.7.0 1.7.0
  18. Unrestricted Upload of File with Dangerous Type in Payload
    Krytyczna · 9.8 CVE-2022-27952 < 0.15.1 0.15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.