CVE-2026-105866

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, specjalnie spreparowane żądanie do publicznej operacji first-register może zdalnie wykonać kod, gdy włączone jest lokalne uwierzytelnianie i nie utworzono jeszcze pierwszego użytkownika. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload przed 3.90.0 i 4.0.0-canary.34, atakujący z dostępem do odczytu i tworzenia lub aktualizacji kolekcji zawierającej pole json lub pole blocks z włączonym blocksAsJSON może wstrzyknąć SQL przez spreparowaną ścieżkę pola i operatory. Kolekcje bez tych pól oraz pola richText nie są podatne. Pakiety SQLite naprawiono w wersjach 3.90.0 i 4.0.0-canary.34, a Postgres w wersji 3.73.0.

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, serwer nie egzekwuje ograniczenia access.update na poziomie pola dla pola hasła w kolekcji uwierzytelniania. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, nieprawidłowo sformułowane żądanie multipart może spowodować bardzo długie przetwarzanie Content-Type multipart, prowadząc do niekontrolowanego zużycia zasobów. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, odpowiedzi na odświeżenie tokena i resetowanie hasła mogą niezależnie zwracać ukryte lub ograniczone odczytem pola, do których żądający użytkownik nie ma dostępu. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.90.0 oraz w wersjach canary przed 4.0.0-canary.34 odpytywanie czytelnej kolekcji powiązanej relacją z inną kolekcją może ujawnić informacje o powiązanych dokumentach chronionych przez ograniczenia access.read.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownicy ze zwykłym dostępem do odczytu do innych dokumentów uwierzytelniania w kolekcji z włączonym useAPIKey mogą uzyskać aktywne klucze API i korzystać z uprawnień docelowych kont, dopóki te klucze nie zostaną obrócone lub wyłączone. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownik, który może zapytać kolekcję z polimorficznym joinem do wrażliwych pól, może wywnioskować ukryte lub ograniczone odczytem wartości, w tym tokeny resetowania hasła, przez filtry polimorficznego joina. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach od 3.40.0 przed 3.88.0 oraz w wersjach canary przed 4.0.0-canary.27 atakujący może spreparować parametr adresu URL przekierowania, który po zakończeniu procesu uwierzytelniania kieruje użytkownika-gościa do niezaufanego miejsca docelowego.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.88.0 oraz w wersjach canary przed 4.0.0-canary.27 niezaufany użytkownik, który może odpytywać czytelną kolekcję, kontrolować jej sortowanie i wybrać chronione pole jako parametr sortowania, może wywnioskować ograniczone informacje o wartościach pól, których nie może odczytać.