Payload CMS: Path Traversal bei der Bereinigung von Upload-Dateien

Zusammenfassung

Payload ist ein Headless Content-Management-System. In betroffenen Versionen kann ein authentifizierter Benutzer, der lokal gespeicherte Uploads ändern oder löschen darf, bewirken, dass bei der Bereinigung Dateien ausserhalb des konfigurierten Upload-Verzeichnisses entfernt werden. Dies kann zu Datenverlust oder Dienstunterbrüchen führen, die Vertraulichkeit ist nicht betroffen. Das Risiko ist dort am höchsten, wo viele Benutzer Uploads verwalten können; Installationen, in denen die Verwaltung von Uploads auf vertrauenswürdige Benutzer beschränkt ist, sind weniger gefährdet.

Betroffen

• Payload vor 3.90.0
• Payload 4.0.0-canary.0 bis vor 4.0.0-canary.34
• Nur Upload-Collections mit lokaler Dateispeicherung sind relevant.

Behoben in

• Payload 3.90.0 oder neuer
• Payload 4.0.0-canary.34 oder neuer

Umgehung

• Änderungs- und Löschoperationen bei Uploads auf vertrauenswürdige Benutzer beschränken.
• Übermittelte Dateinamen validieren.
• Diese Massnahmen sind temporär; ein Update auf eine korrigierte Version wird empfohlen.

Ausnutzung

• Nicht bekanntermassen ausgenutzt (CISA SSVC: Exploitation none, Automatable no).
• In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist möglicherweise nicht vollständig.

Unsere Empfehlung

• Payload-Instanzen und deren Versionen identifizieren (package.json oder Lockfile).
• Auf 3.90.x oder 4.0.0-canary.34 oder neuer aktualisieren; vorher die Release Notes zu 3.90.0 auf Breaking Changes prüfen, zum Beispiel strengere Validierung von SVG- und XML-Uploads.
• Bis dahin Bearbeitungs- und Löschrechte für Uploads auf vertrauenswürdige Administratoren beschränken.
• Vor dem Update das Upload-Verzeichnis sichern.
• Das Update zeitnah planen, da dieselbe Version weitere Advisories behebt, einige davon als kritisch eingestuft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-p223-2wr2-j562 github.com
• Fix commit 6b74418 (constrain upload file deletion paths) github.com
• Payload release v3.90.0 github.com
• OSV: CVE-2026-105865 osv.dev
• Payload security update for 3.x and 4.0 payloadcms.com
• Payload upload storage adapters documentation payloadcms.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:47.