Payload CMS: Remote Code Execution über den first-register-Endpunkt

Zusammenfassung

Payload ist ein Open-Source-Headless-Content-Management-System. In betroffenen Versionen kann ein Angreifer mit einer präparierten Anfrage an die öffentliche first-register-Operation Code auf dem Server remote ausführen. Voraussetzung ist, dass die lokale Authentifizierung aktiviert ist und noch kein initialer Benutzer erstellt wurde; eine vorgängige Anmeldung des Angreifers ist nicht nötig.

Betroffen

• Payload 3.x vor 3.90.0
• Payload 4.0 Canary-Versionen ab 4.0.0-canary.0 bis (ausschliesslich) 4.0.0-canary.34

Behoben in

• Payload 3.90.0
• Payload 4.0.0-canary.34

Umgehung

• Unbekannt laut Hersteller. Die Herstellerwarnung empfiehlt nur das Aktualisieren.
• Nicht vom Hersteller verifizierte Drittanbieter-Vorschläge: den öffentlichen first-register-Endpunkt einschränken oder auf authentifizierte Administratoren begrenzen; oder den initialen Benutzer erstellen, bevor die Anwendung exponiert wird.

Ausnutzung

• CISA KEV: nicht gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept in einer nicht erschöpfenden Suche gefunden.

Unsere Empfehlung

• Sofort prüfen, ob eine über das Internet erreichbare Payload-Instanz unter 3.90.0 oder 4.0.0-canary.34 läuft.
• Alle Payload-Pakete auf 3.90.0 oder 4.0.0-canary.34 (oder eine neuere gepatchte Version) aktualisieren und die Pakete gemeinsam aktualisieren.
• Prüfen, ob ein Administrator-Benutzer existiert; falls nicht, nach dem Update umgehend einen erstellen.
• Logs auf unerwartete Anfragen an den first-register-Endpunkt und auf unbekannte Benutzerkonten prüfen.
• Neu bereitgestellte oder neu installierte Instanzen sowie Instanzen, deren Datenbank zurückgesetzt wurde, besonders beachten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-97rh-rhh2-7vjv github.com
• Payload v3.90.0 release github.com
• Fix commit e947fc4 github.com
• Payload security update payloadcms.com
• OSV GHSA-97rh-rhh2-7vjv osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:47.