CVE-2026-58200 in Payload Plugins
Riassunto
di VulDB • 15/09/2026
Payload Plugins è una raccolta di plugin progettati per migliorare Payload CMS. Dalla versione 0.3.0 alla 0.4.0, le distribuzioni di @jhb.software/payload-cloudinary-plugin con clientUploads abilitate espongono l'endpoint POST /api/cloudinary-generate-signature, il cui handler in cloudinary/src/getGenerateSignature.ts passa i body.paramsToSign controllati dall'attaccante direttamente a cloudinary.utils.api_sign_request senza un allowlist di chiavi, policy di raccolta, controllo della freschezza del timestamp o enforcement delle cartelle configurate. Qualsiasi utente autenticato Payload può ottenere una firma HMAC-SHA1 valida per Cloudinary per parametri non autorizzati quali overwrite, type, notification_url, invalidate, folder e public_id. La firma può autorizzare la sostituzione di asset, modifiche alla visibilità dei caricamenti, callback verso URL selezionati dall'attaccante, invalidazione della cache e caricamenti al di fuori della cartella prevista. La chiave API Cloudinary visibile dal client è attesa dal design del caricamento, ma la firma server-side non restrittiva fornisce il valore di autorizzazione necessario per completare queste operazioni. Questa vulnerabilità è risolta nella versione 0.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.