Payload CMS: Gespeichertes XSS über heruntergeladene SVG-Uploads

Zusammenfassung

Payload CMS speichert hochgeladene SVG-Dateien, die die Bereinigung umgehen, sodass eine bösartige SVG-Datei JavaScript enthalten kann, das der Angreifer kontrolliert. Das Skript wird im Browser eines Benutzers ausgeführt, der die Datei herunterlädt und öffnet. Ein Angreifer benötigt ein Konto mit Upload-Berechtigung, und das Opfer muss die Datei öffnen; die Vertraulichkeit und Integrität sind betroffen, die Verfügbarkeit nicht.

Betroffen

• Payload-Versionen vor 3.90.0
• Payload-Canary-Versionen ab 4.0.0-canary.0 vor 4.0.0-canary.34
• Nur Collections, die SVG-Uploads erlauben, die Benutzer herunterladen können, sind betroffen
• Ältere Release-Linien (2.x): Unbekannt.

Behoben in

• Payload 3.90.0
• Payload 4.0.0-canary.34
• Spätere Releases enthalten die Korrektur ebenfalls (Unbekannt, welche genauen Versionen der Hersteller als aktuell führt).

Umgehung

• SVG-Uploads in betroffenen Collections untersagen.
• Hochgeladene SVG-Dateien nur als Download mit Content-Disposition: attachment und einer strikten Content-Security-Policy ausliefern.
• Diese Massnahmen reduzieren das Risiko, ersetzen aber nicht das Update.

Ausnutzung

• CISA KEV: nicht gelistet.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle Payload-Installationen inventarisieren und deren Versionen ermitteln, einschliesslich transitiver Abhängigkeiten.
• Nach einem Test auf Payload 3.90.0 oder neuer bzw. 4.0.0-canary.34 oder neuer aktualisieren.
• Bis zur Korrektur SVG-Uploads blockieren oder einschränken und Uploads nur als Anhang mit strikter CSP ausliefern.
• Bestehende hochgeladene SVG-Dateien auf Skriptinhalte prüfen und kontrollieren, ob Upload-Collections öffentlich herunterladbar sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2pwp-2369-8fg3 github.com
• Payload release v3.90.0 github.com
• Fix commit a8c3a8e github.com
• OSV: CVE-2026-105862 osv.dev
• OSV: GHSA-2pwp-2369-8fg3 osv.dev
• OpenCVE: CVE-2026-105862 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:31.