Payload CMS: Denial of Service durch fehlerhafte Multipart-Requests
Zusammenfassung
Payload ist ein quelloffenes Headless-Content-Management-System für Node.js. Die Versionen ab 3.0.0 vor 3.90.0 und 4.0.0-canary.0 vor 4.0.0-canary.34 verarbeiten fehlerhafte Multipart-Content-Type-Request-Bodies so langsam, dass Ressourcen unbegrenzt verbraucht werden. Ein nicht authentifizierter Angreifer aus dem Netz kann solche Requests senden, um die Payload-Instanz unbrauchbar zu machen, was die betroffene Website oder das Admin-Backend offline setzt. Eine Beeinträchtigung der Vertraulichkeit oder Integrität ist nicht dokumentiert.
Betroffen
- Payload (npm-Paket payload) >= 3.0.0 und < 3.90.0
- Payload Canary >= 4.0.0-canary.0 und < 4.0.0-canary.34
Behoben in
- Payload 3.90.0
- Payload 4.0.0-canary.34
Umgehung
Unbekannt. Der Hersteller dokumentiert keinen Workaround; das Aktualisieren ist die Behebung. Ein Reverse Proxy oder CDN, der Limiten für Body-Grösse, Header-Grösse und Request-Zeit durchsetzt, kann nur als vorübergehende Härtung dienen, ist nicht durch den Hersteller bestätigt und muss zuerst getestet werden.
Ausnutzung
- CISA KEV: laut einem Drittanbieter-Tracker nicht gelistet; auf der CISA-Website nicht verifiziert.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Payload-Pakete auf 3.90.0 oder 4.0.0-canary.34 aktualisieren und vor der Wahl der Zielversion die npm-Registry auf neuere 3.x-Releases prüfen.
- Lockfiles und ausgelieferte Builds prüfen, da Payload indirekt eingebunden sein kann; eventuell ist ein Framework-Upgrade (z. B. Next.js) nötig.
- Aus dem Internet erreichbare Payload-Instanzen zuerst patchen.
- Request-Logs und Antwortzeiten auf ungewöhnlich lange Multipart-Verarbeitung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2g7p-5934-q4w7 (vendor) github.com
- GitHub Advisory Database GHSA-2g7p-5934-q4w7 github.com
- Payload release v3.90.0 github.com
- Payload fix commit 0084bd51 github.com
- OSV GHSA-2g7p-5934-q4w7 osv.dev
- GitLab Advisory Database CVE-2026-105854 advisories.gitlab.com
- CVE-2026-105854 analysis (third-party) cvereports.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.