Platform
nodejs
Component
payloadcms
Opgelost in
3.79.2
CVE-2026-34749 beschrijft een Cross-Site Request Forgery (CSRF) kwetsbaarheid in Payload CMS. Een CSRF-aanval kan een aanvaller in staat stellen om ongeautoriseerde acties uit te voeren namens een geauthenticeerde gebruiker. Deze kwetsbaarheid treft versies 3.79.0 en eerder. Een patch is beschikbaar in versie 3.79.1.
Een succesvolle CSRF-aanval kan een aanvaller in staat stellen om gevoelige gegevens te wijzigen, instellingen te veranderen of zelfs nieuwe gebruikers aan te maken binnen het Payload CMS. Dit kan leiden tot een compromittering van de integriteit en vertrouwelijkheid van de website. De impact is groter als de Payload CMS-installatie wordt gebruikt voor kritieke bedrijfsfuncties of als er gevoelige informatie wordt opgeslagen. Een aanvaller kan bijvoorbeeld de inhoud van pagina's wijzigen, gebruikersrechten aanpassen of zelfs de database manipuleren, afhankelijk van de configuratie en de rechten van de gecompromitteerde gebruiker.
Deze kwetsbaarheid is publiekelijk bekend sinds 2026-04-01. Er zijn momenteel geen openbare proof-of-concept exploits beschikbaar, maar de CSRF-kwetsbaarheid is een bekende aanvalstechniek. De kans op actieve exploitatie is momenteel als gemiddeld ingeschat, gezien de open-source aard van Payload CMS en de potentiële impact van een succesvolle aanval.
Organizations and individuals using Payload CMS versions 3.79.0 through 3.79.0 are at risk. This includes those deploying Payload CMS in production environments, development environments, or staging environments. Shared hosting environments using Payload CMS are particularly vulnerable, as they may be more difficult to patch quickly.
• nodejs: Monitor application logs for suspicious requests originating from different origins. Use Node.js security auditing tools to identify potential CSRF vulnerabilities.
npm audit payload-cms• generic web: Examine access logs for requests with unusual referer headers or POST requests to sensitive endpoints. Check response headers for unexpected redirects.
curl -I https://your-payload-cms-site.com/admin/some-sensitive-endpointdisclosure
Exploit Status
EPSS
0.02% (5% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van Payload CMS naar versie 3.79.1 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het implementeren van strikte Content Security Policy (CSP) headers om cross-origin requests te beperken. Het toevoegen van CSRF-tokens aan alle gevoelige formulieren is een andere optie, hoewel dit een significante code-aanpassing vereist. Controleer ook of de Payload CMS-installatie goed is geconfigureerd en of er geen onnodige privileges zijn verleend aan gebruikers.
Werk bij naar versie 3.79.1 of hoger om de CSRF-bescherming bypass kwetsbaarheid in de authenticatiestroom te mitigeren. Deze update corrigeert het probleem door robuustere beveiligingsmaatregelen te implementeren om cross-site forgerij verzoeken te voorkomen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-34749 beschrijft een Cross-Site Request Forgery (CSRF) kwetsbaarheid in Payload CMS versies 3.79.0 en eerder, waardoor ongeautoriseerde acties mogelijk zijn.
Ja, als u een Payload CMS-installatie gebruikt in versie 3.79.0 of eerder, bent u kwetsbaar voor deze CSRF-aanval.
Upgrade Payload CMS naar versie 3.79.1 of hoger om deze kwetsbaarheid te verhelpen. Implementeer tijdelijk CSP headers als directe upgrade niet mogelijk is.
Hoewel er momenteel geen openbare exploits beschikbaar zijn, is de kans op actieve exploitatie als gemiddeld ingeschat vanwege de bekende aanvalstechniek.
Raadpleeg de Payload CMS website of GitHub repository voor het officiële advies en de patch release: [https://payloadcms.com/](https://payloadcms.com/)
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.