p PatchFirst

CVE-2026-106100

CVE-2026-106100 · Payload: Field-level write access bypass in Payload on MongoDB

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Payload is a free and open source headless content management system. In @payloadcms/db-mongodb versions before 3.87.0 and canary versions before 4.0.0-canary.20, an authenticated user who can update a document can modify fields that field-level write access control does not permit that user to change. The Postgres and SQLite adapters are not affected. This issue is fixed in versions 3.87.0 and 4.0.0-canary.20.

CVSS 7.1 · Élevée · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • payload

    Versions du logiciel
    • < 3.87.0: Concernée
    • >= 4.0.0-canary.0, < 4.0.0-canary.20: Concernée

    Aucun correctif publié

  • @payloadcms/db-mongodb npm

    Plages de versions concernées
    • SEMVER: < 3.87.0

    Mettez à jour vers 3.87.0

  • @payloadcms/db-mongodb npm

    Plages de versions concernées
    • SEMVER: ≥ 4.0.0-canary.0, < 4.0.0-canary.20

    Mettez à jour vers 4.0.0-canary.20

Sources originales

Vérifiez votre serveur →