Payload CMS: SQL-Injection in SQLite- und Postgres-Adaptern über dynamische Filter und Joins

Zusammenfassung

Payload ist ein Headless-Content-Management-System. Die Versionen 3.0.0 bis vor 3.88.0 sowie 4.0.0-canary bis vor 4.0.0-canary.27 enthalten eine SQL-Injection-Schwachstelle in den Datenbank-Adaptern für SQLite und Postgres. Ein nicht vertrauenswürdiger Benutzer, der lesbare Collections über dynamische Filter oder Joins abfragen kann, kann eine Anfrage erstellen, die SQL einschleust, was das Lesen, Ändern oder Löschen von Datenbankinhalten ermöglichen kann. MongoDB-Installationen sind nicht betroffen.

Betroffen

• Payload (npm-Paket payload) 3.0.0 bis vor 3.88.0
• Payload 4.0.0-canary.0 bis vor 4.0.0-canary.27
• Nur SQLite- und PostgreSQL-Adapter; MongoDB ist nicht betroffen

Behoben in

• Payload 3.88.0
• Payload 4.0.0-canary.27

Umgehung

• Keine Workaround-Lösung des Herstellers. Der Hersteller empfiehlt ein Update.
• Nur temporär: Zugriff auf betroffene API-Pfade einschränken und Datenbankprotokolle auf ungewöhnliche Abfragefehler prüfen.

Ausnutzung

• CVSS 3.1 Basiswert 9.8 (kritisch), Angriffsvektor über das Netzwerk, geringe Komplexität, keine Berechtigungen und keine Benutzerinteraktion erforderlich.
• CISA SSVC: automatisierbar ja, technische Auswirkung total, Ausnutzung keine.
• Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt gekennzeichnet. Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Alle Payload-Instanzen inventarisieren und die Versionen des payload-Pakets und der @payloadcms/*-Pakete in den Lockfiles prüfen.
• Prüfen, ob die Instanz SQLite oder PostgreSQL verwendet und ob Collections mit Filter- oder Join-Unterstützung öffentlich lesbar sind.
• Auf 3.88.0, 4.0.0-canary.27 oder neuer aktualisieren.
• Falls die Aktualisierung verzögert wird, betroffene API-Pfade einschränken und Datenbankprotokolle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory GHSA-v49j-62m6-pgrr github.com
• Fix commit a742140 github.com
• Release v3.88.0 github.com
• GitHub Advisory Database GHSA-v49j-62m6-pgrr github.com
• OSV CVE-2026-105845 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:06.