CVE-2026-39397 in payload-puck
Résumé
par VulDB • 07/06/2026
@delmaredigital/payload-puck est un plugin PayloadCMS permettant d'intégrer le constructeur de pages visuel Puck. Avant la version 0.6.23, tous les gestionnaires des points de terminaison CRUD /api/puck/* enregistrés par createPuckPlugin() appelaient l'API locale de Payload avec overrideAccess: true par défaut, contournant ainsi tout contrôle d'accès au niveau des collections. L'option access transmise à createPuckPlugin() et toutes les règles d'accès définies sur les collections enregistrées auprès de Puck étaient silencieusement ignorées sur ces points de terminaison. Cette vulnérabilité est corrigée dans la version 0.6.23.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.