पेलोड में पासवर्ड रिकवरी एंडपॉइंट्स में अमान्य इनपुट है

Payload के पासवर्ड रिकवरी फ्लो में एक भेद्यता पाई गई है। एक अनधिकृत हमलावर पासवर्ड रीसेट शुरू करने वाले उपयोगकर्ता की ओर से कार्रवाई करने में सक्षम हो सकता है। यह रिकवरी प्रक्रिया के भीतर अपर्याप्त इनपुट सत्यापन और URL निर्माण के कारण है। यदि कोई हमलावर इन पहलुओं में हेरफेर करने में सक्षम है, तो वह उपयोगकर्ता के खाते को उनके वर्तमान पासवर्ड को जाने बिना समझौता कर सकता है।

Organizations and individuals using Payload with authentication enabled and relying on the built-in forgot-password functionality are at risk. This includes those deploying Payload in shared hosting environments or legacy configurations where upgrading may be challenging. Specifically, users who haven't implemented robust input validation or URL sanitization practices are particularly vulnerable.

• nodejs / server: Monitor Payload application logs for unusual password reset requests originating from unexpected IP addresses.

grep 'password reset request' /var/log/payload/app.log | grep -v 'your_expected_ip_range'

• nodejs / server: Use process monitoring tools to ensure Payload is running version 3.79.1 or later.

node -v

• generic web: Attempt to trigger the password reset flow for various user accounts and observe the resulting URLs for any signs of manipulation or unexpected behavior. Use curl to inspect the URL generated during the password reset process.

curl 'https://your-payload-instance/[email protected]'

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-01
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-09

इस जोखिम को कम करने के लिए, हम Payload संस्करण 3.79.1 या बाद में अपग्रेड करने की पुरजोर सिफारिश करते हैं। इस अपडेट में इनपुट सत्यापन और URL निर्माण को मजबूत किया गया है, जिससे पासवर्ड रिकवरी फ्लो की सुरक्षा बढ़ जाती है। यदि तत्काल अपग्रेड संभव नहीं है, तो अस्थायी रूप से 'पासवर्ड भूल गए' कार्यक्षमता को अक्षम करना एक अस्थायी उपाय हो सकता है, हालांकि आदर्श नहीं है।

अंतिम अपडेट

3.84.1हाल ही में