要点
- CVE-2026-105858 は payload (payloadcms), payload に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.47%（全脆弱性の 41.1% より高い）。
- 対処：3.90.0, 4.0.0-canary.34 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| payload | = 4.0.0< 3.90.0
| 3.90.0
|
| payload npm | ≥ 4.0.0-canary.0, < 4.0.0-canary.34< 3.90.0
| 4.0.0-canary.343.90.0
|
概要
Impact
A crafted request to the public first-register operation can be used to perform a RCE exploit.
You are affected if:
- You use local auth strategy and your application remains without an initial user created
Patches
In the patched version data submission to create first user is properly sanitized.
Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.
NVD の説明
Payload is a free and open source headless content management system. In versions before 3.90.0 and canary versions before 4.0.0-canary.34, a crafted request to the public first-register operation can execute code remotely when local authentication is enabled and no initial user has been created. This issue is fixed in versions 3.90.0 and 4.0.0-canary.34.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン