Payload: SQL injection in SQLite/Postgres
Impact
An attacker who has read plus create or update access to a collection can submit a request that includes a SQL injection targeting a specific field path shape and operators in Payload's SQLite and Postgres.
You are affected if:
- You use
@payloadcms/db-sqliteor@payloadcms/db-d1-sqlite. - You use
@payloadcms/db-postgresor@payloadcms/db-vercel-postgres< 3.73.0. - A readable collection has a
jsonfield, or ablocksfield withblocksAsJSON: true. - The attacker has read plus create or update access on it.
You are not affected if:
- You have no
json orblocksAsJSONfields.richText` is not affected. - You run a patched version.
Patches
The patched version sanitizes the query input to prevent injection.
Users should upgrade Payload packages to >= 3.90.0 or >= 4.0.0-canary.34.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @payloadcms/db-d1-sqlite | >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 | 3.90.0, 4.0.0-canary.34 |
| Paquete de npm | @payloadcms/db-postgres | >= 3.0.0, < 3.73.0 | 3.73.0 |
| Paquete de npm | @payloadcms/db-sqlite | >= 3.0.0, < 3.90.0, >= 4.0.0-canary.0, < 4.0.0-canary.34 | 3.90.0, 4.0.0-canary.34 |
| Paquete de npm | @payloadcms/db-vercel-postgres | >= 3.0.0, < 3.73.0 | 3.73.0 |
Referencias
- https://github.com/payloadcms/payload/security/advisories/GHSA-pj7x-6wpf-pgvp
- https://nvd.nist.gov/vuln/detail/CVE-2026-105856
- https://github.com/payloadcms/payload/commit/03b78c7e0901d19c67f07bdf6396a276010adbcc
- https://github.com/payloadcms/payload
- https://github.com/payloadcms/payload/releases/tag/v3.90.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-89- Plataforma
- npm
- Paquete
@payloadcms/db-d1-sqlite, @payloadcms/db-postgres, @payloadcms/db-sqlite- Publicada
- 07.10.2026
- Actualizado
- 14.10.2026 06:17
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-pj7x-6wpf-pgvp - CC BY 4.0
Historial de vulnerabilidades: @payloadcms/db-d1-sqlite
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.