CVE-2026-105861 [高] 外部からのファイルアップロードにおける、信頼性検証の不備。

ペイロードにおける、外部からのアップロード時の信頼性検証に関する問題

## 影響

特定の外部アップロード設定において、ペイロードが認証データを、信頼済みと検証されていない宛先に送信する可能性がありました。影響を受けるリクエストに有効なセッションが含まれている場合、そのセッションが意図しない受信者に公開される可能性があります。

**以下の条件に該当する場合、影響を受ける可能性があります:**

- 認証されたリクエストによってトリガーされる、外部URLベースのアップロード機能を有効にしている場合。

## 修正

ペイロードは、認証データを転送する前に宛先を検証するようになりました。また、リクエストの宛先が変更された場合にも、その検証を再適用します。

ユーザーは、ペイロードのパッケージを `3.90.0` 以上、または `4.0.0-canary.34` 以上にアップデートしてください。

## 対策

すべてのペイロードパッケージを `3.90.0` 以上、または `4.0.0-canary.34` 以上にアップデートすることを推奨します。

もしアップデートできない場合は、以下の対策が有効です。
- 可能な限り、外部URLベースのアップロード機能を無効にしてください。
- 無効にできない場合は、アップロードヘッダーフィルタを設定して、送信されるファイルリクエストから認証データを削除してください。
- 影響を受けるアップロード機能へのアクセスを制限してください。

影響を受けるパッケージ:
- npm (JavaScript) payload: 影響範囲は `3.0.0` 以上、`< 3.90.0`。 `3.90.0` で修正済み。
- npm (JavaScript) payload: 影響範囲は `4.0.0-canary.0` 以上、`< 4.0.0-canary.34`。 `4.0.0-canary.34` で修正済み。