Payload CMS のプラグインである @payloadcms/plugin-form-builder において、リモートコード実行（RCE）が可能な極めて深刻な脆弱性が発見された。この脆弱性は、プロトタイプ汚染やコードインジェクションの問題に起因しており、攻撃者が細工したフォームの送信データを通じて、サーバー上で任意のコードを実行することを可能にする。CVSS スコアは最高値の 10.0 と評価されており、認証を必要とせずリモートから悪用が可能であるため、極めて危険な状態である。
対象ソフト
Payload CMS はオープンソースのヘッドレス CMS フレームワークであり、plugin-form-builder はウェブサイト上でフォームを動的に構築・管理するためのプラグインである。
影響
攻撃者によってサーバーの制御を完全に奪取される可能性があり、機密情報の漏洩、データの改ざん、あるいはシステム全体の停止といった重大な被害を受ける恐れがある。
対応策
Payload パッケージを 3.90.0 以降、または 4.0.0-canary.34 以降にアップグレードすること。
