Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-r488-j9vj-wx3q (CVE-2026-105857) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën @payloadcms/plugin-form-builder të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- @payloadcms/plugin-form-builder (npm) — versionet e prekura:
< 3.90.0; versioni me rregullim:3.90.0 - @payloadcms/plugin-form-builder (npm) — versionet e prekura:
>= 4.0.0-canary.0, < 4.0.0-canary.34; versioni me rregullim:4.0.0-canary.34
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection')), CWE-1321 (Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution'))
- Identifikuesit: GHSA-r488-j9vj-wx3q, CVE-2026-105857
Përmbledhja zyrtare
Payload Form Builder ka një problem me RCE — Impact A vulnerability in @payloadcms/plugin-form-builder në versionet < 3.90.0 lejojnë dërgimet që mund të hartohen për të ekzekutuar kodin në distancë në server. Ju prekeni nëse: – Ju përdorni @ payloadcms/plugin-form-builder Patches Përdoruesit duhet të përmirësojnë paketat e Payload në = 3.90.0 ose = 4.0.0-canary.34 .
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @payloadcms/plugin-form-builder, përditësojeni sa më shpejt në versionin 3.90.0 ose më të ri.
