Payload Form Builder Plugin: Remote Code Execution über Formularübermittlung

Zusammenfassung

Das Form-Builder-Plugin (@payloadcms/plugin-form-builder) des Open-Source-Headless-CMS Payload enthält eine Schwachstelle, die Code-Injection über manipulierte Formularübermittlungen erlaubt. Ein Angreifer aus dem Netzwerk kann ohne Anmeldung und ohne Benutzerinteraktion Code auf dem Server ausführen, was zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Betroffen sind alle Websites, die das Plugin in den betroffenen Versionen einsetzen, da Formular-Endpunkte by Design öffentlich erreichbar sind.

Betroffen

• @payloadcms/plugin-form-builder vor 3.90.0
• Canary-Versionen ab 4.0.0-canary.0 vor 4.0.0-canary.34
• Unbekannt: die früheste betroffene Version, da eine Drittquelle einen abweichenden Bereich angibt.

Behoben in

• 3.90.0 oder neuer (3.x)
• 4.0.0-canary.34 oder neuer (Canary)
• Empfohlen: die neueste gepatchte 3.x-Version.

Umgehung

Unbekannt. Der Hersteller nennt keine Workaround-Massnahme. Drittquellen schlagen vor, den Form Builder zu deaktivieren oder Formular-Endpunkte auf vertrauenswürdige Quellen zu beschränken. Diese Massnahmen sind nicht verifiziert und nur als Übergangslösung gedacht. Das Deaktivieren der Zugriffskontrolle ist keine Gegenmassnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein verifizierter öffentlicher Proof of Concept bekannt.
• Der Angriff benötigt keine Anmeldung, daher könnten Angreifer rasch nach verwundbaren Systemen suchen.

Unsere Empfehlung

• Alle Projekte und Lockfiles auf @payloadcms/plugin-form-builder und weitere @payloadcms/*-Pakete prüfen.
• Mindestens auf 3.90.0 aktualisieren, idealerweise auf die neueste gepatchte 3.x-Version, und danach neu deployen.
• Falls das Plugin vor dem Patch exponiert war, Web-Server- und Applikationslogs auf ungewöhnliche POST-Anfragen an Formular-Endpunkte prüfen.
• Bei Hinweisen auf eine Kompromittierung den Host als kompromittiert behandeln und Secrets, Umgebungsvariablen und Datenbank-Zugangsdaten rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r488-j9vj-wx3q github.com
• Fix commit 333b82b (restrict form data access) github.com
• Payload release v3.90.0 github.com
• OSV entry GHSA-r488-j9vj-wx3q osv.dev
• OpenCVE CVE-2026-105857 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:36.