Silent Lynx использует уязвимость WinRAR для развертывания обратного шелла в атаках на правительства стран СНГ · 3h NGINX устраняет 5 уязвимостей, включая возможное RCE и ошибку TLS, которая может пропустить проверки клиентских сертификатов · 6h Next.js выпустил внеплановое исправление для двух критических уязвимостей RCE в кэшировании и обработке SVG · 6h Drupal устраняет критическую уязвимость RCE в ядре без входа через сторонние модули · 7h Уязвимость в программном обеспечении Sparx Systems Enterprise Architect · 7h Curl устраняет уязвимость 'high' RCE, найденную компанией Anthropic · 7h Уязвимости в телефонных станциях Slican · 8h Palo Alto Networks предупреждает о злоупотреблении уязвимостью в брандмауэрах · 11h Cisco сообщает о активном использовании критической уязвимости в Secure Email Gateway · 11h Критическая уязвимость аутентифицированного RCE в Langflow, на которую нацелились в 1,423 попытках эксплуатации · 12h Silent Lynx использует уязвимость WinRAR для развертывания обратного шелла в атаках на правительства стран СНГ · 3h NGINX устраняет 5 уязвимостей, включая возможное RCE и ошибку TLS, которая может пропустить проверки клиентских сертификатов · 6h Next.js выпустил внеплановое исправление для двух критических уязвимостей RCE в кэшировании и обработке SVG · 6h Drupal устраняет критическую уязвимость RCE в ядре без входа через сторонние модули · 7h Уязвимость в программном обеспечении Sparx Systems Enterprise Architect · 7h Curl устраняет уязвимость 'high' RCE, найденную компанией Anthropic · 7h Уязвимости в телефонных станциях Slican · 8h Palo Alto Networks предупреждает о злоупотреблении уязвимостью в брандмауэрах · 11h Cisco сообщает о активном использовании критической уязвимости в Secure Email Gateway · 11h Критическая уязвимость аутентифицированного RCE в Langflow, на которую нацелились в 1,423 попытках эксплуатации · 12h

ACyber Sentinel Команда оценки безопасности

← Назад

⚡ Разведотчёт

Уязвимость в программном обеспечении Payload CMS

📰 cert.pl 🕐 Oct 13, 2026 10:55 ⏱ 1 мин чтения ⚠️ 1 CVE

Уязвимость в программном обеспечении Payload CMS

CVE ID

CVE-2026-63316

Дата публикации

13 октября 2026

Поставщик

Payload

Продукт

Payload CMS

Уязвимые версии

Все версии до 3.90.0, от 4.0.0-canary.0 до 4.0.0-canary.34

Тип уязвимости (CWE)

Неправильная нейтрализация специальных элементов, используемых в SQL-команде ('SQL Injection') (CWE-89)

Источник отчета

Отчет в CERT Polska

Описание

CERT Polska получил отчет об уязвимости в программном обеспечении Payload CMS и участвовал в координации его раскрытия.

Уязвимость CVE-2026-63316: В Payload CMS была выявлена уязвимость SQL Injection. Неправильная нейтрализация ввода, предоставленного пользователем в параметры запроса in и not_in, позволяет аутентифицированному злоумышленнику выполнять атаки SQL Injection.

Эта проблема была исправлена в версиях 3.90.0 и 4.0.0-canary.34.

Благодарности

Мы благодарим 0xMesbaha за ответственный отчет об уязвимости.

Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.

Упомянутые уязвимости

CVE-2026-63316 CVSS 8.7 HIGH Received

CVE-2026-63316 - SQL Injection in Payload CMS

A SQL injection vulnerability has been identified in Payload CMS. Improper neutralization of input provided by user into "in" and "not_in" query paramethers allows an authenticated attacker to perform SQL Injection attacks. This issue was fixed in version 3.90.0 and 4.0.0-canary.34.