CVE-2026-105863: payload (payloadcms)
Vulnerabilità critica, punteggio 9,4 su 10, in payload (payloadcms). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.
- Gravità
- 9,4 su 10 (critical)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - Tipo di difetto
- CWE-290
CWE-915 - Pubblicata
- 6 ottobre 2026
Descrizione originale
Payload is a free and open source headless content management system. In versions after 3.0.0 and before 3.90.0, a custom field option that maps a field to a reserved authentication claim name can place unintended values in the authentication token issued at login. This issue is fixed in version 3.90.0.