Payload: Unbeabsichtigte Werte im Authentifizierungs-Token durch reservierte Claim-Zuordnung

Zusammenfassung

Payload, ein frei verfügbares Open-Source-Headless-Content-Management-System, kann unbeabsichtigte Werte in das beim Login ausgestellte Authentifizierungs-Token schreiben. Betroffen sind Versionen nach 3.0.0 bis vor 3.90.0 sowie 4.0.0-canary.0 bis vor 4.0.0-canary.34. Das Problem tritt nur auf, wenn eine benutzerdefinierte Feldoption ein Feld einem reservierten Authentifizierungs-Claim-Namen zuordnet. Der Hersteller stuft die Schwachstelle als kritisch ein (CVSS 4.0 Score 9.2) und weist darauf hin, dass ein Update die einzige vollständige Massnahme ist.

Betroffen

• Payload (npm-Paket payload) >= 3.0.0 und < 3.90.0
• Payload 4.0.0-canary.0 bis < 4.0.0-canary.34
• Nur Installationen mit einer benutzerdefinierten Feldoption, die ein Feld einem reservierten Authentifizierungs-Claim-Namen zuordnet, sind betroffen.

Behoben in

• Payload 3.90.0 oder neuer (empfohlen wird das aktuellste 3.x-Release)
• Payload 4.0.0-canary.34 oder neuer

Umgehung

• Laut Herstellerhinweis gibt es keine vollständige Workaround-Lösung.
• Übergangsmassnahme (nicht vom Hersteller verifiziert): Benutzerdefinierte Feldkonfigurationen prüfen und Optionen, die auf reservierte Authentifizierungs-Claim-Namen zeigen, entfernen oder umbenennen.

Ausnutzung

• Die CISA-SSVC-Bewertung im offiziellen CVE-Eintrag nennt keine Ausnutzung (none) und die Automatisierbarkeit als ja (yes).
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Ein Drittanbieter-Aggregator meldet Ausnutzungsaktivität; dies konnte nicht aus einer primären Quelle bestätigt werden.
• Der Status im CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Alle Payload-Instanzen und deren Versionen inventarisieren, einschliesslich transitiver npm-Abhängigkeiten.
• Auf Payload 3.90.0 oder neuer aktualisieren, vorzugsweise auf das aktuellste 3.x-Release, und die Migrationshinweise des Releases v3.90.0 beachten.
• Benutzerdefinierte Feldkonfigurationen auf Zuordnungen zu reservierten Authentifizierungs-Claim-Namen prüfen.
• Applikationslogs für den Zeitraum vor dem Patch auf ungewöhnliche Login-Token oder Claim-Werte prüfen.
• Sicherheitshinweis des Herstellers und CISA KEV auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-66wr-7vmr-p5jq github.com
• Payload release v3.90.0 github.com
• Fix commit 56cd5cd (protect reserved JWT fields) github.com
• OSV entry GHSA-66wr-7vmr-p5jq osv.dev
• Payload security update for 3.x and 4.0 payloadcms.com
• Payload npm package www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:52.