CVE-2026-58200 in Payload Plugins
الملخص
بحسب VulDB • 15/09/2026
تُعد Payload Plugins مجموعة من الإضافات المصممة لتعزيز نظام إدارة المحتوى Payload CMS. ومن الإصدار 0.3.0 حتى 0.4.0، تعرض عمليات النشر الخاصة بـ @jhb.software/payload-cloudinary-plugin (عند تفعيل خيار clientUploads) نقطة النهاية POST /api/cloudinary-generate-signature، حيث يقوم المعالج الموجود في cloudinary/src/getGenerateSignature.ts بتسليم قيم body.paramsToSign التي يتحكم فيها المهاجم مباشرةً إلى دالة cloudinary.utils.api_sign_request دون وجود قائمة بيضاء للمفاتيح (key allowlist)، أو سياسة تجميع البيانات (collection policy)، أو فحص حداثة الطابع الزمني (timestamp freshness check)، أو فرض الالتزام بالملفات المكونة. يمكن لأي مستخدم مصرّح له بالدخول في نظام Payload الحصول على توقيع HMAC-SHA1 صالح من Cloudinary لقيم غير مسموح بها مثل overwrite و type و notification_url و invalidate و folder و public_id. ويمكن لهذا التوقيع أن يخوّل استبدال الأصول، وتغيير رؤية الرفع (upload visibility)، وإرسال استدعاءات إلى عناوين URL يختارها المهاجم، وإلغاء التخزين المؤقت، والرفع خارج المجلد المقصود. يُتوقع وجود مفتاح API الخاص بـ Cloudinary المرئي للعميل وفقاً لتصميم عملية الرفع، لكن التوقيع غير المقيد من جانب الخادم يقدّم قيمة التفويض اللازمة لإتمام هذه العمليات. تم إصلاح هذا الثغرة الأمنية في الإصدار 0.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.