Tóm tắt nhanh
- CVE-2026-105845 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng payload.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.38%, cao hơn 32.2% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.88.0, 4.0.0-canary.27 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| payload npm | ≥ 3.0.0, < 3.88.0≥ 4.0.0-canary.0, < 4.0.0-canary.27
| 3.88.04.0.0-canary.27
|
Mô tả
Impact
A user can submit a request that exploits a SQL Injection vulnerability in Payload.
You are affected if:
- You use an affected Payload version.
- Untrusted users can query readable collections using dynamic filters or joins.
You are not affected if you use MongoDB (@payloadcms/mongodb).
Patches
Users should upgrade Payload packages to >= 3.88.0 or >= 4.0.0-canary.27.
Workarounds
Upgrading to a patched version is recommended. Until you can upgrade, restrict untrusted users from supplying dynamic query filters or join parameters and limit read access to affected collections.
Mô tả của NVD
Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.88.0 and canary versions before 4.0.0-canary.27, an untrusted user who can query readable collections through dynamic filters or joins can submit a request that causes SQL injection in the SQLite and Postgres adapters. This issue is fixed in versions 3.88.0 and 4.0.0-canary.27.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí