CVE-2026-105860
CVE-2026-105860 · Payload: Tenant authorization bypass in Multi-Tenant Plugin
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Payload is a free and open source headless content management system. In @payloadcms/plugin-multi-tenant versions before 3.90.0 and canary versions before 4.0.0-canary.34, the default tenant array field access allows an authenticated user to assign the user's own account to other tenants. Deployments that replace the default behavior with secured tenants arrayFieldAccess.create and tenants arrayFieldAccess.update functions are not affected by this behavior. This issue is fixed in versions 3.90.0 and 4.0.0-canary.34.
CVSS 7.1 · Élevée · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
payload
- Versions du logiciel
- < 3.90.0: Concernée
- >= 4.0.0-canary.0, < 4.0.0-canary.34: Concernée
Aucun correctif publié
@payloadcms/plugin-multi-tenant npm
- Plages de versions concernées
- SEMVER: < 3.90.0
Mettez à jour vers 3.90.0
@payloadcms/plugin-multi-tenant npm
- Plages de versions concernées
- SEMVER: ≥ 4.0.0-canary.0, < 4.0.0-canary.34
Mettez à jour vers 4.0.0-canary.34