Anmelden
Deutsch English Español Polski
Mittel

Payload: Unauthenticated account-lockout denial of service

  • Veröffentlicht: 07.10.2026
  • Aktualisiert: 11.10.2026 10:22

Impact

An unauthenticated attacker who knows an account’s email address or username could trigger Payload’s account lockout mechanism and prevent that user from signing in.

You are affected if:

  • Using an affected Payload version with an auth-enabled collection that uses local authentication and account lockout.

Applications that do not use Payload local authentication are not affected.

Patches

Successful password resets now clear the account’s lockout state. The forgot-password flow also enforces a configurable minimum interval between reset emails, which defaults to 15 seconds.

Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket payload < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Schwäche (CWE)
CWE-307, CWE-645
Plattform
npm
Paket
payload
Veröffentlicht
07.10.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-v5gf-vpjc-pc7w - CC BY 4.0

Schwachstellenhistorie: payload

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (29) im Archiv
Einträge insgesamt
29
Erste → letzte
04.2022 10.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 5
  • Hoch 13
  • Mittel 11

Veröffentlichungen pro Jahr

Schweregrad:
  1. Payload: Remote Code Execution through first-register
    Hoch · 8.1 CVE-2026-105858 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  2. Payload external upload trust validation issue
    Hoch CVE-2026-105861 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  3. Payload: Bypassed sanitization of user uploaded SVGs
    Hoch · 8.7 CVE-2026-105862 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  4. Payload: Incomplete validation during the upload file lifecycle
    Hoch · 8.1 CVE-2026-105865 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  5. Payload: Unauthenticated account-lockout denial of service dieser Eintrag
    Mittel CVE-2026-105866 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  6. Payload: Uploaded XML files could execute same-origin JavaScript
    Hoch CVE-2026-105868 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  7. Payload: Unauthorized update to collection documents
    Kritisch · 9.8 CVE-2026-105859 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  8. Payload authentication token field handling issue
    Kritisch CVE-2026-105863 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  9. Payload didn't enforce field-level password update restrictions
    Hoch CVE-2026-105855 < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  10. Payload: ReDoS in Multipart Content-Type Validation
    Hoch CVE-2026-105854 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  11. Payload vulnerable to API key disclosure through ordinary document reads
    Hoch CVE-2026-105849 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  12. Payload: Token refresh and password reset responses may expose restricted user fields
    Hoch CVE-2026-105853 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  13. Payload: SQL Injection in SQLite and Postgres
    Kritisch · 9.8 CVE-2026-105845 >= 3.0.0, < 3.88.0, >= 4.0.0-canary.0, < 4.0.0-canary.27 3.88.0, 4.0.0-canary.27
  14. Payload: Polymorphic join queries could disclose hidden fields
    Hoch CVE-2026-105847 >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 3.90.0, 4.0.0-canary.34
  15. Payload has Authenticated SSRF via Upload Functionality
    Hoch · 7.7 CVE-2026-34746 < 3.79.1 3.79.1
  16. Payload has an SQL Injection via Query Handling
    Hoch · 8.5 CVE-2026-34747 < 3.79.1 3.79.1
  17. Payload: Pre-Authentication Account Takeover via Parameter Injection in Password Recovery
    Kritisch · 9.1 CVE-2026-34751 < 3.79.1 3.79.1
  18. Hidden fields can be leaked on readable collections in Payload
    Hoch · 7.4 CVE-2023-30843 < 1.7.0 1.7.0
  19. Unrestricted Upload of File with Dangerous Type in Payload
    Kritisch · 9.8 CVE-2022-27952 < 0.15.1 0.15.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.