Payload にパスワード回復エンドポイントにおける未検証の入力が存在する

Payloadのパスワードリカバリフローに脆弱性が存在します。認証されていない攻撃者が、パスワードリセットを開始したユーザーになりすまして操作を実行する可能性があります。これは、リカバリプロセス内の入力検証とURL構築の不備が原因です。攻撃者がこれらの側面を操作できる場合、現在のパスワードを知らずにユーザーアカウントを侵害する可能性があります。

Organizations and individuals using Payload with authentication enabled and relying on the built-in forgot-password functionality are at risk. This includes those deploying Payload in shared hosting environments or legacy configurations where upgrading may be challenging. Specifically, users who haven't implemented robust input validation or URL sanitization practices are particularly vulnerable.

• nodejs / server: Monitor Payload application logs for unusual password reset requests originating from unexpected IP addresses.

grep 'password reset request' /var/log/payload/app.log | grep -v 'your_expected_ip_range'

• nodejs / server: Use process monitoring tools to ensure Payload is running version 3.79.1 or later.

node -v

• generic web: Attempt to trigger the password reset flow for various user accounts and observe the resulting URLs for any signs of manipulation or unexpected behavior. Use curl to inspect the URL generated during the password reset process.

curl 'https://your-payload-instance/[email protected]'

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. 更新日2026-04-08
4. EPSS 更新日2026-04-09

このリスクを軽減するために、Payloadバージョン3.79.1以降にアップデートすることを強くお勧めします。このアップデートには、入力検証とURL構築の強化が含まれており、パスワードリカバリフローのセキュリティが向上します。直ちにアップデートできない場合は、一時的に「パスワードを忘れた場合」機能を無効にすることが、一時的な対策として考えられますが、理想的ではありません。