Payload: SQL-Injection in SQLite- und Postgres-Datenbankadaptern
Zusammenfassung
Payload, ein freies Open-Source-Headless-Content-Management-System, ist in seinen Datenbankadaptern für SQLite und Postgres betroffen. Ein Angreifer mit Lese- sowie Erstell- oder Änderungsrechten auf eine Collection mit einem JSON-Feld oder einem Blocks-Feld mit aktiviertem blocksAsJSON kann über einen manipulierten Feldpfad und Operatoren SQL einschleusen. Collections ohne diese Felder und richText-Felder sind nicht betroffen.
Betroffen
- @payloadcms/db-sqlite und @payloadcms/db-d1-sqlite: >= 3.0.0 und < 3.90.0 sowie >= 4.0.0-canary.0 und < 4.0.0-canary.34
- @payloadcms/db-postgres und @payloadcms/db-vercel-postgres: >= 3.0.0 und < 3.73.0
Behoben in
- SQLite-Adapter: 3.90.0 und 4.0.0-canary.34
- Postgres-Adapter: 3.73.0
Umgehung
Unbekannt. Der Hersteller beschreibt keine Workaround-Massnahme; die Behebung erfolgt durch Patchen.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS: 0.00269.
Unsere Empfehlung
- Ermitteln Sie alle eingesetzten Payload-Pakete, einschliesslich der @payloadcms/db-*-Adapter, in package.json und Lockfiles.
- Aktualisieren Sie SQLite- und D1-Installationen auf 3.90.0 oder 4.0.0-canary.34 und Postgres-Installationen auf 3.73.0 oder neuer. Empfohlen wird die Aktualisierung auf die neueste stabile 3.x-Version.
- Prüfen Sie Collections mit JSON- oder blocksAsJSON-Blocks-Feldern und beschränken Sie, wer sie erstellen oder ändern kann.
- Prüfen Sie die Logs auf ungewöhnliche Abfrageparameter in diesen Collections.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-pj7x-6wpf-pgvp github.com
- Fix commit 03b78c7 github.com
- Payload release v3.90.0 github.com
- OSV entry CVE-2026-105856 osv.dev
- GitHub Advisory Database GHSA-pj7x-6wpf-pgvp github.com
- Tenable CVE-2026-105856 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.