Payload 3.93.0 : mises à jour de sécurité vitales

Quand Payload écrit « vital », on met à jour d'abord.

Payload 3.93.0 est annoncée comme contenant des mises à jour de sécurité vitales, à installer dès que possible. Les notes listent huit correctifs de contrôle d'accès, de validation et d'échappement, sans CVE ni gravité, et ajoutent l'option auth.passwordHashIterations pour les environnements qui limitent PBKDF2.

5 novembre 20261 min de lectureintermédiairevidéo 1:15

Ce qui se passe

Payload 3.93.0 (4 novembre 2026) annonce en tête de ses notes : « contient des mises à jour de sécurité vitales », à installer dès que possible. Ni CVE, ni gravité, ni description d'exploitation.

Les correctifs qui ressemblent à de la sécurité

D'après leur seul intitulé (le reste corrige l'interface, les traductions et l'autosave) :

21bdbbf : droits de lecture des enfants d'un bloc appliqués dans les requêtes
cfa60ea : blocs limités aux types configurés par champ
9071e58 : restrictions pasteURL appliquées aux envois par URL distante
50d25f2 : politique de réponse XML appliquée au contenu XSL
63a3a69 : redirections de la vue globale limitées aux tenants disponibles
9c37160 : libellés de configuration résolus avant interpolation (#19209)
bed603f : Lexical, valeurs stockées échappées dans les convertisseurs HTML
a56cc64 : Next, paramètre description de l'endpoint og borné

Seul ajout fonctionnel : auth.passwordHashIterations (#19074), pour les environnements qui plafonnent PBKDF2.

Comment s'y prendre

Alignez tous les paquets payload et @payloadcms/* sur 3.93.0, puis rejouez vos tests de droits, surtout sur les blocs, les envois par URL et le multi-tenant. Les commits ci-dessus sont le seul détail disponible.

Source : notes de version Payload 3.93.0. Source en anglais.