Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-66wr-7vmr-p5jq (CVE-2026-105863) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën payload të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- payload (npm) — versionet e prekura:
>= 3.0.0, < 3.90.0; versioni me rregullim:3.90.0 - payload (npm) — versionet e prekura:
>= 4.0.0-canary.0, < 4.0.0-canary.34; versioni me rregullim:4.0.0-canary.34
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-290 (Authentication Bypass by Spoofing), CWE-915 (Improperly Controlled Modification of Dynamically-Determined Object Attributes)
- Identifikuesit: GHSA-66wr-7vmr-p5jq, CVE-2026-105863
Përmbledhja zyrtare
Problem në trajtimin e fushave të token-it të autentikimit në Payload
Në konfigurime të caktuara të fushave, Payload mund të përfshijë vlera të paqëllimshme në token-in e autentikimit të lëshuar gjatë hyrjes në sistem. Problemi prek përdoruesit e një versioni të cenueshëm që kanë konfiguruar një opsion fushe të personalizuar, i cili e lidh fushën me një emër të rezervuar të atributeve të autentikimit (claims).
Payload tani kufizon se cilat opsione të konfigurimit të fushave mund të ndikojnë në përmbajtjen e token-it të autentikimit. Përdoruesit duhet t’i përditësojnë paketat payload në versionin = 3.90.0 ose = 4.0.0-canary.34.
Nuk ka një zgjidhje alternative të plotë për këtë problem.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin payload, përditësojeni sa më shpejt në versionin 3.90.0 ose më të ri.
