Payload CMS ma lukę SQL Injection – CERT ostrzega

CERT Polska wykrył poważną dziurę w oprogramowaniu Payload CMS. Specjaliści z tej jednostki koordynowali ujawnianie szczegółów błędu.

Luka otrzymała identyfikator CVE-2026-63316. Publikacja nastąpiła 13 października 2026 roku.

Szczegóły podatności SQL Injection

Problem tkwi w błędnej walidacji danych wprowadzanych do parametrów not_in oraz in. Uwierzytelniony atakujący może przeprowadzić atak typu SQL Injection. Prosta sprawa.

Wersje oprogramowania zagrożone błędem

Błąd występuje w każdej wersji Payload CMS poniżej 3.90.0. Zagrożone są też wydania od 4.0.0-canary.0 do 4.0.0-canary.34.

Jak naprawić lukę w zabezpieczeniach

Producent wyeliminował usterkę w najnowszych aktualizacjach. Poprawki wdrożono w wersji 3.90.0 oraz 4.0.0-canary.34.

Za zgłoszenie luki podziękowania otrzymał 0xMesbaha. Więcej informacji o procedurach znajdziecie na oficjalnej stronie CERT Polska.

Źródło: CERT