CVE-2026-105844

GitHubCrítica, npm

Payload: poluição de protótipo no plugin Payload Import Export

Traduzido automaticamente do inglês.

Um usuário não autenticado poderia causar comportamento inesperado no aplicativo quando o plugin Import Export está habilitado, permitindo que um atacante envie e execute código remoto (RCE).

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.3 (v4.0)
EPSS: 0,52% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: @payloadcms/plugin-import-export (npm) >= 3.0.0, < 3.88.0, corrigido em 3.88.0 · GHSA-qf28-8hc6-vwrp
@payloadcms/plugin-import-export (npm) >= 4.0.0-canary.0, < 4.0.0-canary.27, corrigido em 4.0.0-canary.27 · GHSA-qf28-8hc6-vwrp