TL;DR
Payload CMS, popularny headless CMS w ekosystemie Node i Next.js, ma lukę SQL Injection. Problem tkwi w niewłaściwej walidacji parametrów filtrowania `in` oraz `not_in`, a więc w czymś, co zwykle uchodzi za bezpieczne, bo trafia do zapytań przez warstwę ORM.
Błąd dotyczy wszystkich wersji poniżej 3.90.0 oraz wydań 4.0.0-canary.0 do 4.0.0-canary.34. Atak wymaga uwierzytelnienia, ale pozwala wykonać nieautoryzowane operacje na bazie, czyli podejrzeć poufne dane albo zmienić zawartość. Poprawki są w 3.90.0 i 4.0.0-canary.34. Jeśli masz Payloada na produkcji, warto sprawdzić wersję jeszcze dziś.
W oprogramowaniu Payload CMS wykryto podatność typu SQL Injection (CVE-2026-63316).
Czytaj cały wpis u źródła// tagi
