FICHE CVE

CVE-2026-105854

Publiée le 2026-10-06 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les versions 3.0.0 à 3.89.0 de Payload CMS (ainsi que certaines versions canary) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage ou le gel de votre serveur en envoyant une requête multipart spécialement conçue qui épuise les ressources du système. Cette attaque est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable à votre système.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-10-06

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.90.0 and canary versions before 4.0.0-canary.34, a malformed multipart request body can cause multipart Content-Type processing to take an extremely long time, resulting in uncontrolled resource consumption. This issue is fixed in versions 3.90.0 and 4.0.0-canary.34.