PT-2026-29598 · Google+4 · Google Cloud Storage+4

Denolf · Publicado 2026-04-01 · Atualizado 2026-04-02 · CVE-2026-34750

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions Payload versões anteriores a 3.78.0

Description Os endpoints de URL assinados de upload do cliente para S3, GCS, Azure e R2 não higienizavam adequadamente os nomes dos arquivos. Um invasor poderia criar nomes de arquivos para escapar do local de armazenamento pretendido.

Recommendations Atualize para a versão 3.78.0 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-34750

GHSA-FRQ9-7J6G-V74X

Produtos afetados

Amazon S3

Azure

Google Cloud Storage

Pyload

R2

Referências · 5

• https://github.com/payloadcms/payload/security/advisories/GHSA-frq9-7j6g-v74x · Aviso do Fabricante
• https://github.com/payloadcms/payload · Nota
• https://twitter.com/CVEnew/status/2039647792310939702 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-frq9-7j6g-v74x · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34750 · Nota de Segurança