CVE-2026-39397 in payload-puck
Riassunto
di VulDB • 17/06/2026
@delmaredigital/payload-puck è un plugin per PayloadCMS volto all'integrazione del builder di pagine visuale Puck. Prima della versione 0.6.23, tutti i gestori degli endpoint CRUD /api/puck/* registrati da createPuckPlugin() chiamavano l'API locale di Payload con il valore predefinito overrideAccess: true, aggirando tutti i controlli di accesso a livello di collezione. L'opzione access passata a createPuckPlugin() e tutte le regole di accesso definite sulle collezioni registrate in Puck venivano ignorate silenziosamente su questi endpoint. Questa vulnerabilità è stata risolta nella versione 0.6.23.
VulDB is the best source for vulnerability data and more expert information about this specific topic.