CVE-2026-25544: Payload CMS: SQL Injection em campos JSON e richText
As versões do Payload CMS anteriores à 3.73.0 são vulneráveis a SQL injection ao consultar campos JSON ou richText, permitindo injeção cega sem autenticação. A pontuação CVSS 3.1 é 9,8 e a descrição aponta possível exposição de e-mails, tokens de redefinição de senha e tomada completa de contas. A atualização para a versão 3.73.0 é a correção documentada.
Visão geral
Payload é um CMS headless. De acordo com o aviso de segurança do GitHub, a entrada do usuário usada em consultas a campos JSON ou richText era inserida em SQL sem escape. O registro classifica a falha como CWE-89 (SQL Injection).
Impacto
O registro informa que um atacante não autenticado poderia extrair dados sensíveis, como e-mails e tokens de redefinição de senha, e alcançar a tomada completa de contas sem precisar quebrar senhas. A pontuação base CVSS 3.1 é 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, conforme fornecido pelo CNA.
Produtos e versões afetadas
- Payloadcms Payload: o registro lista como afetadas as versões anteriores à 3.73.0.
- A descrição afirma que o problema está corrigido na versão 3.73.0.
- A lista de correções do registro está vazia, então a versão corrigida foi extraída do texto da descrição.
Status de exploração
O registro não indica inclusão no catálogo KEV da CISA. Nas fontes consultadas não há exploração ativa confirmada. Isso não prova que a exploração não tenha ocorrido.
Correção e mitigação
- Atualize o Payload para a versão 3.73.0 ou superior.
- Consulte o aviso do fornecedor para orientações adicionais.
- Enquanto a atualização não for concluída, restrinja o acesso não autenticado aos endpoints de conteúdo sempre que possível e limite a exposição de consultas a campos JSON e richText.
- Havendo indícios de exposição, redefina credenciais e invalide tokens de redefinição de senha pendentes.
Orientações de detecção
- Revise logs da aplicação e do banco de dados em busca de padrões de consulta incomuns em endpoints de conteúdo que filtram campos JSON ou richText.
- Monitore solicitações inesperadas de redefinição de senha e alterações de contas.
- Gere alertas para volumes incomuns de requisições não autenticadas às APIs de conteúdo.
Limitações das informações disponíveis
O registro não descreve os endpoints exatos afetados, os caminhos de código nem as condições da requisição. Não informa se existe exploit público. A entrada EPSS mostra probabilidade de 0,00962 e percentil de 0,60625, datada de 2026-10-13. Detalhes de correção além da descrição são desconhecidos.
Perguntas frequentes
Quais versões do Payload são afetadas pelo CVE-2026-25544?
O registro lista como afetadas as versões do Payload anteriores à 3.73.0. A descrição informa que o problema está corrigido na versão 3.73.0.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não indica inclusão no catálogo KEV da CISA e nas fontes consultadas não há exploração ativa confirmada. Isso não descarta a exploração.
Qual ação é recomendada?
Atualize o Payload para a versão 3.73.0 ou superior, consulte o aviso do fornecedor e restrinja o acesso não autenticado aos endpoints de conteúdo até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.