Payload Import Export plugin: Prototype Pollution ermöglicht Remote Code Execution
Zusammenfassung
Das Import-Export-Plugin des headless CMS Payload erlaubt nicht authentifizierten Benutzern, prototype-sensitive Feldpfade zu übermitteln. Dies kann zu unbeabsichtigtem Anwendungsverhalten führen, das Remote Code Execution ermöglichen kann. Betroffen sind nur Websites, auf denen das Plugin aktiviert ist; der CVSS-4.0-Basiswert beträgt 9.3 (kritisch).
Betroffen
- @payloadcms/plugin-import-export und payload 3.0.0 bis (ausschliesslich) 3.88.0
- @payloadcms/plugin-import-export und payload 4.0.0-canary.0 bis (ausschliesslich) 4.0.0-canary.27
- Anwendungen ohne das Import-Export-Plugin sind nicht betroffen.
Behoben in
- 3.88.0
- 4.0.0-canary.27
Umgehung
- Das Import-Export-Plugin deaktivieren.
- Den Zugriff auf die Endpunkte des Plugins am Reverse Proxy einschränken, bis das Update installiert ist.
Ausnutzung
- Ein öffentlicher Proof of Concept existiert; laut dessen Autor ist die Auswirkung ein potenzieller, anwendungsabhängiger RCE. Der Code wurde nicht überprüft.
- Es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Die CVE ist soweit geprüft nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- In package.json und im Lockfile alle @payloadcms/*-Pakete und das Import-Export-Plugin prüfen.
- Alle @payloadcms/*-Pakete gemeinsam auf 3.88.0 oder 4.0.0-canary.27 oder neuer aktualisieren und prüfen, dass das Lockfile keine doppelten Versionen enthält.
- Falls die Aktualisierung nicht sofort möglich ist, das Plugin deaktivieren oder dessen Endpunkte einschränken.
- Logs seit dem 6. Okt. 2026 auf ungewöhnliche Anfragen an Export- und Import-Funktionen prüfen.
- Aus dem Internet erreichbare Payload-Websites mit diesem Plugin priorisieren.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
murrez/CVE-2026-105844
Quellen der Recherche
- GitHub Security Advisory GHSA-qf28-8hc6-vwrp (Payload) github.com
- Payload fix commit a742140 github.com
- Payload release v3.88.0 github.com
- GitHub Advisory Database GHSA-qf28-8hc6-vwrp github.com
- OSV GHSA-qf28-8hc6-vwrp osv.dev
- Public proof-of-concept repository (murrez/CVE-2026-105844) github.com
- Hol.org CVE summary hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.