Më 6 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-qf28-8hc6-vwrp (CVE-2026-105844) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën @payloadcms/plugin-import-export të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- @payloadcms/plugin-import-export (npm) — versionet e prekura:
>= 3.0.0, < 3.88.0; versioni me rregullim:3.88.0 - @payloadcms/plugin-import-export (npm) — versionet e prekura:
>= 4.0.0-canary.0, < 4.0.0-canary.27; versioni me rregullim:4.0.0-canary.27
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-1321 (Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution'))
- Identifikuesit: GHSA-qf28-8hc6-vwrp, CVE-2026-105844
Përmbledhja zyrtare
Ngarkesa e pagesës: Ndotja e prototipit në shtojcën Payload Import Export — Impact Një përdorues i paautorizuar mund të shkaktojë sjellje të padëshiruar të aplikacionit kur aktivizohet shtojca Import Export, duke lejuar një sulmues të paraqesë dhe ekzekutojë kodin në distancë (RCE). Aplikacionet që nuk përdorin @payloadcms/plugin-import-export nuk preken. Përdoruesit e arnimeve duhet të përmirësojnë paketat e Payload në = 3.88.0 ose = 4.0.0-canary.27. Rekomandohet përmirësimi i kushteve të punës. Deri atëherë, çaktivizoni shtojcën Import Export ose kufizoni qasjen në pikat e saj përfundimtare.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @payloadcms/plugin-import-export, përditësojeni sa më shpejt në versionin 3.88.0 ose më të ri.
