CVE-2026-105863 · CVSS 9.4 · Payload is a free and open source headless content management system. In versions after 3.0.0 and before 3.90.0, a custom field option that …

NVD (CVSS crítico) · 6 oct, 19:17

Se ha descubierto una vulnerabilidad en Payload CMS (versiones posteriores a 3.0.0 y anteriores a 3.90.0) que permite colocar valores no intencionados en el token de autenticación emitido en el login mediante una opción de campo personalizado que se asigna a un nombre de claim de autenticación reservado. El problema está corregido en la versión 3.90.0.