Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-f7hx-52q9-hcrf (CVE-2026-105859) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën payload të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- payload (npm) — versionet e prekura:
< 3.90.0; versioni me rregullim:3.90.0 - payload (npm) — versionet e prekura:
>= 4.0.0-canary.0, < 4.0.0-canary.34; versioni me rregullim:4.0.0-canary.34
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-639 (Authorization Bypass Through User-Controlled Key), CWE-862 (Missing Authorization)
- Identifikuesit: GHSA-f7hx-52q9-hcrf, CVE-2026-105859
Përmbledhja zyrtare
Payload: Përditësim i paautorizuar i dokumenteve të koleksioneve
Një dobësi në Payload i lejon një sulmuesi të dërgojë një kërkesë në një endpoint të caktuar dhe të përditësojë dokumentet e koleksioneve, duke anashkaluar si kontrollin e aksesit, ashtu edhe kufizimet e aksesit në nivel fushe.
Preken përdoruesit që kanë konfiguruar orderable: true për ndonjë koleksion ose fushë join.
Në versionet e korrigjuara, kontrollet e aksesit zbatohen siç duhet. Përdoruesit duhet t’i përditësojnë paketat Payload në versionin 3.90.0 ose 4.0.0-canary.34.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin payload, përditësojeni sa më shpejt në versionin 3.90.0 ose më të ri.
