CERT Polska opisał podatność SQL injection w Payload CMS poniżej wersji 3.90.0
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
Błąd w walidacji parametrów in oraz not_in pozwala uwierzytelnionemu atakującemu przeprowadzić atak SQL injection. Producent naprawił podatność w wersjach 3.90.0 oraz 4.0.0-canary.34.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 13 października 2026 r. informację o podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-63316 w oprogramowaniu Payload CMS, którego producentem jest Payload. Jest to podatność typu SQL injectionSQL injection Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.. CERT Polska otrzymał zgłoszenie i koordynował proces ujawniania informacji. Za zgłoszenie dziękuje 0xMesbaha.
Przyczyną jest niepoprawna walidacja danych wprowadzanych przez użytkownika do parametrów in oraz not_in. Pozwala to uwierzytelnionemu atakującemu na przeprowadzenie ataku SQL injection. Komunikat nie opisuje dalszych skutków ataku.
Podatne są wszystkie wersje poniżej 3.90.0 oraz wersje od 4.0.0-canary.0 do 4.0.0-canary.34. Problem naprawiono w wersjach 3.90.0 oraz 4.0.0-canary.34. Wersja 4.0.0-canary.34 pojawia się więc w komunikacie CERT Polska zarówno w zakresie podatnych, jak i wśród wersji z poprawką, a komunikat tego nie wyjaśnia.
Jeśli ty albo twój dostawca używacie Payload CMS, sprawdź, w jakiej wersji działa system, i porównaj ją z tym zakresem. Wersją z poprawką w gałęzi 3.x jest 3.90.0.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- SQL injection
- Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.