Payload CMS: SQL-Injection über in- und not_in-Abfrageparameter
Zusammenfassung
Payload CMS, ein Headless Content Management System, enthält eine SQL-Injection-Schwachstelle bei der Verarbeitung der Abfrageparameter "in" und "not_in". Ein authentifizierter Angreifer kann SQL-Befehle einschleusen, wodurch Datenbankinhalte offengelegt oder verändert werden können. Laut Herstellerhinweis setzt die Ausnutzung voraus, dass der Angreifer Lese- sowie Schreibrechte (Create oder Update) auf eine Collection mit einem json-Feld oder einem blocks-Feld mit aktivierter Option blocksAsJSON besitzt.
Betroffen
- Payload CMS unterhalb 3.90.0
- Payload CMS 4.0.0-canary.0 bis unterhalb 4.0.0-canary.34
- Der Herstellerhinweis listet @payloadcms/db-postgres und @payloadcms/db-vercel-postgres unterhalb 3.73.0 als betroffen, was dem CVE-Bereich widerspricht; ungeklärt
Behoben in
- Payload CMS 3.90.0
- Payload CMS 4.0.0-canary.34
- Für alle Installationen, einschliesslich Postgres, auf 3.90.0 aktualisieren
Umgehung
Unbekannt. Weder der Hersteller noch CERT Polska dokumentieren eine Workaround-Massnahme. Übergangsmassnahme (nicht aus einer Quelle): Konten mit Create- oder Update-Rechten auf Collections einschränken und überprüfen.
Ausnutzung
- Bekanntermassen ausgenutzt: nein (laut verfügbaren Quellen)
- Öffentlicher Exploit oder PoC: keiner gefunden; VulDB meldet keinen verfügbaren Exploit
- EPSS: 0.00259 (geringe Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen)
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Alle Payload-Pakete in jedem Projekt erfassen (npm ls payload sowie alle @payloadcms/*-Pakete).
- Auf 3.90.0 oder 4.0.0-canary.34 oder neuer aktualisieren, auf der jeweiligen Release-Linie, und die Release Notes auf Breaking Changes prüfen.
- Prüfen, welche Konten Collection-Daten erstellen oder ändern können, und auf die notwendigen Benutzer beschränken.
- Internetseitig erreichbare Seiten mit Editor- oder Benutzerkonten mit Schreibrechten priorisieren.
- Vom CERT oder Hersteller die Postgres-Fixversion und die Überschneidung mit CVE-2026-105856 bestätigen lassen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT Polska advisory CVE-2026-63316 cert.pl
- GitHub Security Advisory GHSA-pj7x-6wpf-pgvp github.com
- OSV GHSA-pj7x-6wpf-pgvp osv.dev
- VulDB entry 417543 vuldb.com
- Vulners Rapid7 CVE-2026-63316 vulners.com
- EUVD-2026-93500 (overlapping ID) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.