Silent Lynx 利用 WinRAR 漏洞在独立国家联合体政府攻击中部署反向 Shell · 3h NGINX 修复 5 个漏洞，包括可能的 RCE 和可能跳过客户端证书检查的 TLS 漏洞 · 6h Next.js 发布了针对缓存和 SVG 处理中的两个关键 RCE 漏洞的紧急补丁 · 6h Drupal 修补了通过贡献模块无需登录路径的关键核心 RCE 漏洞 · 7h Sparx Systems Enterprise Architect软件中的漏洞 · 7h Curl 修复了由 Anthropic 发现的“高” RCE 漏洞 · 7h Slican电话交换机中的漏洞 · 8h Palo Alto Networks警告防火墙安全漏洞被滥用 · 11h 思科报告称Secure Email Gateway中的关键漏洞被积极利用 · 11h Langflow的关键认证远程代码执行漏洞在1,423次蜜罐攻击尝试中被针对 · 12h Silent Lynx 利用 WinRAR 漏洞在独立国家联合体政府攻击中部署反向 Shell · 3h NGINX 修复 5 个漏洞，包括可能的 RCE 和可能跳过客户端证书检查的 TLS 漏洞 · 6h Next.js 发布了针对缓存和 SVG 处理中的两个关键 RCE 漏洞的紧急补丁 · 6h Drupal 修补了通过贡献模块无需登录路径的关键核心 RCE 漏洞 · 7h Sparx Systems Enterprise Architect软件中的漏洞 · 7h Curl 修复了由 Anthropic 发现的“高” RCE 漏洞 · 7h Slican电话交换机中的漏洞 · 8h Palo Alto Networks警告防火墙安全漏洞被滥用 · 11h 思科报告称Secure Email Gateway中的关键漏洞被积极利用 · 11h Langflow的关键认证远程代码执行漏洞在1,423次蜜罐攻击尝试中被针对 · 12h

ACyber Sentinel 安全评估团队

← 返回

⚡ 情报报告

Payload CMS软件中的漏洞

📰 cert.pl 🕐 Oct 13, 2026 10:55 ⏱ 1 分钟阅读 ⚠️ 1 个漏洞

Payload CMS软件中的漏洞

CVE ID

CVE-2026-63316

发布日期

2026年10月13日

供应商

Payload

产品

Payload CMS

受影响版本

所有版本在3.90.0之前，从4.0.0-canary.0到4.0.0-canary.34

漏洞类型 (CWE)

在SQL命令中对特殊元素的不当中和（'SQL注入'）(CWE-89)

报告来源

报告给CERT Polska

描述

CERT Polska已收到关于Payload CMS软件漏洞的报告，并参与了其披露的协调。

该漏洞CVE-2026-63316：在Payload CMS中发现了一种SQL注入漏洞。用户提供的输入在in和not_in查询参数中的不当中和允许经过身份验证的攻击者执行SQL注入攻击。

此问题已在版本3.90.0和4.0.0-canary.34中修复。

致谢

感谢0xMesbaha提供负责任的漏洞报告。

有关CERT Polska协调漏洞披露流程的更多信息，请访问https://cert.pl/en/cvd/。

相关漏洞

CVE-2026-63316 CVSS 8.7 HIGH Received

CVE-2026-63316 - SQL Injection in Payload CMS

A SQL injection vulnerability has been identified in Payload CMS. Improper neutralization of input provided by user into "in" and "not_in" query paramethers allows an authenticated attacker to perform SQL Injection attacks. This issue was fixed in version 3.90.0 and 4.0.0-canary.34.