Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Payload CMS i koordynował proces ujawniania informacji.
Podatność CVE-2026-63316: Podatność SQL Injection została znaleziona w Payload CMS. Niepoprawna walidacja danych wprowadzanych przez użytkownika do parametrów in oraz not_in pozwala uwierzytelnionemu atakującemu na przeprowadzenie ataku SQL Injection.
Problem został naprawiony w wesrji 3.90.0 oraz 4.0.0-canary.34.
Podziękowania
Za zgłoszenie podatności dziękujemy 0xMesbaha.
