home / blog
2026-11-02 · critica
CVE-2026-105863: Token Compromessi in Payload CMS
CVE-2026-105863 in Payload CMS: custom field compromettono token auth, versioni dopo 3.0.0. CVSS 9,4.
CVE-2026-105863 affetta Payload, un headless content management system open source. La vulnerabilità risiede nel modulo custom field: quando un campo viene mappato a un claim di autenticazione riservato, il sistema può inserire nel token JWT valori non autorizzati durante il login, compromettendo l'integrità della sessione e i confini di autenticazione.
La vulnerabilità ha ricevuto un punteggio CVSS di 9,4, classificandosi come Critical. Riguarda tutte le versioni di Payload rilasciate dopo la 3.0.0 e precedenti alla 3.90.0. Una patch è stata resa disponibile e confermata nella versione 3.90.0, pubblicata prima della disclosure del CVE il 2026-10-06. Non sono segnalati exploit pubblici verificati a questo stadio.
Amministratori e team IT devono aggiornare immediatamente a Payload 3.90.0 o versione successiva. In parallelo, verificare la configurazione delle custom field nella propria istanza Payload e individuare mappature su claim di autenticazione riservati: se presenti, documentarle prima dell'aggiornamento e rivalutarle dopo la patch. È consigliabile condurre audit di sessione post-aggiornamento per escludere abusi precedenti.
In sintesi
- Cosa
- CVE-2026-105863 riguarda Payload, un CMS headless open source. Una custom field option che mappa un campo a claim di autenticazione riservati può inserire valori non intesi nel token di autenticazione rilasciato al login.
- Gravità
- CVSS 9,4 (Critical). La vulnerabilità consente compromissione della sessione di autenticazione e potenziale elusione dei confini di autorizzazione.
- Versioni interessate
- Tutte le versioni di Payload rilasciate dopo la 3.0.0 e precedenti alla 3.90.0.
- Correzione
- Aggiornare a Payload 3.90.0 o successiva.
- Stato
- Patch disponibile e confermata in versione 3.90.0. CVE pubblicato il 2026-10-06. Non sono segnalati exploit pubblici verificati.
- Azione
- Verificare versione di Payload in uso; aggiornare immediatamente a 3.90.0 o successiva; esaminare custom field per individuare mappature su claim riservati; eseguire audit di sessione dopo l'aggiornamento.
Fonti: NVD, CVE-2026-105863