Kritische Payload CMS-Sicherheitslücke CVE-2026-105845 ermöglicht SQL-Injection ohne Anmeldung

Eine kritische Payload CMS SQL-Injection ermöglicht es Angreifern unter bestimmten Bedingungen, Datenbankabfragen ohne ein bereits vorhandenes Benutzerkonto zu manipulieren. Die Schwachstelle wird als CVE-2026-105845 geführt und hat einen CVSS-Score von 9,8 Critical.

Betroffen sind Payload CMS-Installationen mit PostgreSQL oder SQLite, wenn nicht vertrauenswürdige Benutzer lesbare Collections über dynamische Filter oder Joins abfragen können. Die Schwachstelle wurde in Payload CMS 3.88.0 sowie 4.0.0-canary.27 behoben.

Was ist die Payload CMS SQL-Injection CVE-2026-105845?

Payload CMS ist ein Open-Source Headless Content Management System, das unter anderem für Websites, Webanwendungen, APIs und individuell entwickelte Plattformen eingesetzt wird.

Im Gegensatz zu klassischen Content-Management-Systemen wie WordPress oder Joomla wird Payload häufig direkt in eine Node.js-Anwendung integriert und mit einer separaten Datenbank verbunden.

CVE-2026-105845 ist eine SQL-Injection-Schwachstelle in der Verarbeitung bestimmter Datenbankabfragen.

Nach Angaben der offiziellen Security Advisory kann ein nicht vertrauenswürdiger Benutzer, der lesbare Collections über dynamische Filter oder Joins abfragen darf, speziell präparierte Requests senden, die eine SQL-Injection in den SQLite- und PostgreSQL-Adaptern auslösen können.

Welche Payload CMS-Versionen sind betroffen?

• Payload CMS 3.0.0 bis vor 3.88.0 – verwundbar
• Payload CMS 3.88.0 und neuer – für CVE-2026-105845 korrigiert
• Payload CMS 4.0.0-canary.0 bis vor 4.0.0-canary.27 – verwundbar
• Payload CMS 4.0.0-canary.27 und neuer – für CVE-2026-105845 korrigiert

Vservs empfiehlt, nicht dauerhaft bei der ersten korrigierten Version zu bleiben, sondern nach Prüfung der Anwendung die aktuellste stabile Payload CMS-Version einzusetzen.

PostgreSQL und SQLite sind betroffen

Die Schwachstelle betrifft Payload-Installationen, die einen relationalen Datenbankadapter für PostgreSQL oder SQLite verwenden.

Installationen mit dem MongoDB-Adapter @payloadcms/mongodb sind nach Angaben der offiziellen Security Advisory von dieser spezifischen SQL-Injection-Schwachstelle nicht betroffen.

Dies bedeutet selbstverständlich nicht, dass eine Payload-Installation mit MongoDB generell frei von anderen Sicherheitsrisiken ist. Die Aussage bezieht sich ausschließlich auf CVE-2026-105845.

Wie funktioniert die SQL-Injection?

SQL-Injection entsteht, wenn von außen kontrollierte Eingaben nicht ausreichend von einer Datenbankabfrage getrennt oder validiert werden.

Bei CVE-2026-105845 betrifft dies die Verarbeitung dynamischer Filter und Joins.

Ein Angreifer, der solche Query-Parameter beeinflussen kann, kann unter den beschriebenen Voraussetzungen versuchen, die vom Payload CMS erzeugte SQL-Abfrage zu manipulieren.

Dadurch kann die Datenbank möglicherweise andere Operationen ausführen, als vom Anwendungsentwickler vorgesehen.

Die konkreten Auswirkungen hängen unter anderem von der Payload-Konfiguration, den öffentlich lesbaren Collections und den Berechtigungen des verwendeten Datenbankkontos ab.

Wann ist eine Payload CMS-Installation tatsächlich angreifbar?

Nicht jede Installation einer betroffenen Payload-Version ist automatisch auf dieselbe Weise ausnutzbar.

Nach Angaben des Payload-Sicherheitsteams müssen insbesondere folgende Bedingungen berücksichtigt werden:

• Es wird eine verwundbare Payload CMS-Version verwendet.
• Die Anwendung verwendet PostgreSQL oder SQLite.
• Nicht vertrauenswürdige Benutzer können lesbare Collections abfragen.
• Diese Benutzer können dynamische Query-Filter oder Join-Parameter übermitteln.

Sind diese Bedingungen erfüllt, kann die Schwachstelle über die Netzwerkschnittstelle der Anwendung erreichbar sein.

Gerade bei öffentlich erreichbaren APIs sollte deshalb geprüft werden, welche Collections ohne Authentifizierung beziehungsweise durch nicht vertrauenswürdige Benutzer gelesen und gefiltert werden können.

CVSS 9,8: als Critical eingestuft

CVE-2026-105845 hat einen CVSS-3.1-Score von 9,8 Critical.

Der veröffentlichte CVSS-Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Bewertung bedeutet unter anderem:

• Attack Vector: Network;
• Attack Complexity: Low;
• Privileges Required: None;
• User Interaction: None;
• Confidentiality Impact: High;
• Integrity Impact: High;
• Availability Impact: High.

Die CVSS-Bewertung beschreibt damit eine potenziell über das Netzwerk erreichbare Schwachstelle, für deren Ausnutzung unter den betroffenen Konfigurationsbedingungen keine bestehenden Benutzerrechte und keine Interaktion eines Opfers erforderlich sind.

Welche Auswirkungen kann eine erfolgreiche SQL-Injection haben?

SQL-Injection kann abhängig von den Berechtigungen des Datenbankkontos dazu führen, dass ein Angreifer Informationen aus der Datenbank ausliest oder Daten verändert.

Je nach Anwendung können sich in einer Payload-Datenbank unter anderem folgende Informationen befinden:

• Benutzer- und Accountinformationen;
• CMS-Inhalte;
• Formular- und Anwendungsdaten;
• Konfigurationsinformationen;
• geschäftliche oder personenbezogene Daten;
• Daten aus individuell entwickelten Collections.

Der CVSS-Vektor bewertet die möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils als High.

Dies bedeutet jedoch nicht automatisch, dass jede verwundbare Payload-Installation vollständig übernommen werden kann. Die tatsächlichen Möglichkeiten eines Angreifers hängen insbesondere von der Anwendung und den Datenbankberechtigungen ab.

Wird CVE-2026-105845 aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige öffentliche Bestätigung gefunden, dass CVE-2026-105845 aktiv in freier Wildbahn ausgenutzt wird.

Die offizielle Payload Security Advisory bestätigt die Schwachstelle und die verfügbaren Sicherheitsupdates, meldet jedoch keine beobachtete Angriffskampagne.

Patchstack stuft die Schwachstelle aufgrund ihrer technischen Eigenschaften als High Priority ein und warnt vor einem hohen Exploitationspotenzial. Dies ist jedoch kein Beweis dafür, dass bereits tatsächliche Angriffe stattfinden.

Vservs unterscheidet deshalb ausdrücklich zwischen einer technisch kritischen und potenziell gut automatisierbaren Schwachstelle und einer nachweislich aktiv ausgenutzten Sicherheitslücke.

Payload CMS sofort aktualisieren

Betroffene Installationen sollten mindestens auf Payload CMS 3.88.0 aktualisiert werden.

Für Installationen der 4.0-Canary-Reihe ist mindestens 4.0.0-canary.27 erforderlich.

Da inzwischen neuere Payload-Releases verfügbar sind, empfiehlt Vservs für Produktionsumgebungen die aktuellste stabile Version, sofern diese mit der eingesetzten Anwendung kompatibel ist.

Prüfen Sie beim Update nicht nur das zentrale Payload-Paket, sondern auch die verwendeten Payload-Packages, Datenbankadapter und sonstigen Abhängigkeiten.

Temporäre Maßnahmen, wenn ein Update nicht sofort möglich ist

Die offizielle Security Advisory nennt eine Einschränkung der betroffenen Query-Funktionalität als temporäre Gegenmaßnahme.

Bis das Update durchgeführt werden kann, sollte geprüft werden:

• welche Collections für nicht vertrauenswürdige Benutzer lesbar sind;
• ob öffentliche API-Endpunkte dynamische Filter akzeptieren;
• ob nicht vertrauenswürdige Benutzer Join-Parameter beeinflussen können;
• ob anonyme Benutzer Zugriff auf betroffene Collections besitzen;
• welche Rechte das Payload-Datenbankkonto tatsächlich benötigt.

Beschränken Sie den Zugriff auf dynamische Query-Filter und Join-Parameter für nicht vertrauenswürdige Benutzer und reduzieren Sie den Lesezugriff auf betroffene Collections, soweit dies betrieblich möglich ist.

Diese Maßnahmen dienen ausschließlich der temporären Risikoreduzierung und ersetzen die Installation der Sicherheitsaktualisierung nicht.

Payload CMS auf mögliche Exploitation prüfen

Administratoren von Installationen, auf denen eine verwundbare Payload-Version öffentlich erreichbar war, sollten vorhandene Anwendungs-, API-, Webserver- und Datenbanklogs überprüfen.

Achten Sie insbesondere auf:

• ungewöhnliche Query-Parameter in API-Requests;
• auffällige Kombinationen von Filtern und Joins;
• ungewöhnliche oder wiederkehrende SQL-Fehler;
• unerwartete Zugriffe auf Collections mit sensiblen Informationen;
• nicht erklärbare Spitzen bei der Datenbankaktivität;
• ungeplante oder nicht autorisierte Änderungen an Anwendungsdaten;
• unerwartete Änderungen an Benutzerkonten oder Zugriffsrechten.

Prüfen Sie außerdem, ob Daten abgerufen wurden, die für den betreffenden API-Benutzer beziehungsweise anonymen Zugriff normalerweise nicht verfügbar sein sollten.

Für CVE-2026-105845 sind derzeit keine allgemein zuverlässigen Indicators of Compromise veröffentlicht, mit denen eine erfolgreiche Ausnutzung allein anhand eines bestimmten Requests eindeutig festgestellt werden kann.

Ein auffälliger Request oder Datenbankfehler ist deshalb noch kein Beweis für eine erfolgreiche SQL-Injection.

Ein Update entfernt keine bereits vorgenommenen Änderungen

Die Installation einer sicheren Payload CMS-Version verhindert eine weitere Ausnutzung über CVE-2026-105845.

Änderungen, die ein Angreifer möglicherweise bereits vor dem Update in der Datenbank vorgenommen hat, werden dadurch jedoch nicht automatisch rückgängig gemacht.

Bei konkreten Hinweisen auf eine erfolgreiche SQL-Injection sollte deshalb zusätzlich die Integrität der Datenbank und der Anwendung untersucht werden.

Kontrollieren Sie in diesem Fall auch:

• Payload-Benutzer und Berechtigungen;
• API-Keys und andere Application Secrets;
• Datenbank-Zugangsdaten;
• externe Integrationen;
• ungewöhnliche Änderungen an geschäftlichen oder personenbezogenen Daten;
• verfügbare Backups und deren Integrität.

Credentials sollten aus einer vertrauenswürdigen Umgebung geändert werden, nachdem die betroffene Anwendung untersucht und abgesichert wurde.

Managed VPS Hosting bei Vservs

Headless-CMS-Systeme wie Payload stellen andere Anforderungen an die Hosting-Umgebung als klassische WordPress- oder Joomla-Websites. Node.js, Datenbankserver, Reverse Proxy, Betriebssystem, Firewall und Monitoring bilden gemeinsam die technische Plattform der Anwendung.

Mit Vservs Managed VPS Hosting übernehmen wir unter anderem das technische Management, Security-Updates, Hardening und Monitoring der zugrunde liegenden Linux-Serverumgebung.

Eine professionell verwaltete Serverumgebung ersetzt nicht die Sicherheitsupdates der darauf betriebenen Anwendung. Sie sorgt jedoch dafür, dass auch Betriebssystem, Dienste und Serverkonfiguration kontinuierlich technisch betreut werden.

Zusammenfassung

• Software: Payload CMS
• CVE: CVE-2026-105845
• Schwachstelle: SQL-Injection
• CWE: CWE-89 – SQL Injection
• Schweregrad: Critical
• CVSS: 9,8
• Betroffene Datenbanken: PostgreSQL und SQLite
• MongoDB: von dieser spezifischen Schwachstelle nicht betroffen
• Betroffene stabile Versionen: 3.0.0 bis vor 3.88.0
• Erste korrigierte stabile Version: 3.88.0
• Betroffene Canary-Versionen: 4.0.0-canary.0 bis vor 4.0.0-canary.27
• Erste korrigierte Canary-Version: 4.0.0-canary.27
• Authentifizierung: unter den beschriebenen Voraussetzungen nicht erforderlich
• Benutzerinteraktion: nicht erforderlich
• Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
• Empfehlung: sofort aktualisieren und öffentlich erreichbare Query-Funktionalität überprüfen

Quellen

• Payload CMS – offizielle Security Advisory GHSA-v49j-62m6-pgrr
• Payload CMS – Release-Informationen
• OSV – CVE-2026-105845 / GHSA-v49j-62m6-pgrr
• GitLab Advisory Database – CVE-2026-105845