Veille CVE

‹ Retour à la liste

CVE-2026-105806

8.6 Élevée

Publiée le 06/10/2026 à 18:17 · Modifiée le 06/10/2026 à 22:03 · Analyse NVD en cours · Source : security-advisories@github.com

Description

Payload is a free and open source headless content management system. In @payloadcms/plugin-mcp versions from 3.61.0 until 3.88.0, an authenticated user can manage MCP API keys outside the intended account, enabling privilege escalation through account takeover. This issue is fixed in version 3.88.0.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 8.6 Élevée security-advisories@github.com CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Faiblesses (CWE)

Références

Ailleurs