CVE-2026-105853 [高リスク] 影響: トークン更新およびパスワードリセットの応答において、制限されたユーザー情報が公開される可能性がある。

ペイロード：トークン更新およびパスワードリセットの応答が、アクセス制限のあるユーザー情報を公開する可能性がある

## 影響

トークン更新およびパスワードリセットの応答で、リクエストを行ったユーザーがアクセス権を持たないフィールドが返される可能性がある。

以下の条件に該当する場合、影響を受ける可能性があります。

- 認証コレクションに、非表示または読み取り制限のあるフィールドが含まれている。

## 修正

認証応答において、ユーザードキュメントを返す前に、フィールドへのアクセス制御と非表示フィールドのフィルタリングが行われるようになった。完全なユーザードキュメントは、アクセス制御のためにサーバー側で引き続き利用可能である。

ユーザーは、Payloadのパッケージを`>= 3.90.0`または`>= 4.0.0-canary.34`にアップグレードする必要がある。

カスタム認証ストラテジーは、カスタム応答を通じて返されるユーザードキュメントのフィルタリングについて、引き続き責任を負う。

## 対策

完全な対策はありません。ユーザーは、Payloadのパッケージを`>= 3.90.0`または`>= 4.0.0-canary.34`にアップグレードする必要がある。

影響を受けるパッケージ：
- npm (JavaScript) payload: 影響範囲は、`>= 3.0.0`かつ`< 3.90.0`。`3.90.0`で修正済み。
- npm (JavaScript) payload: 影響範囲は、`>= 4.0.0-canary.0`かつ`< 4.0.0-canary.34`。`4.0.0-canary.34`で修正済み。