CVE-2026-39397 in payload-puck
Сводка
по VulDB • 07.06.2026
@delmaredigital/payload-puck — это плагин для PayloadCMS, предназначенный для интеграции визуального конструктора страниц Puck. Версии до 0.6.23 включительно содержат уязвимость: все обработчики CRUD-эндпоинтов /api/puck/*, регистрируемые функцией createPuckPlugin(), обращались к локальному API Payload с параметром overrideAccess по умолчанию (true), что позволяло обходить контроль доступа на уровне коллекций. Опция access, передаваемая в createPuckPlugin(), а также любые правила доступа, определенные для коллекций, зарегистрированных через Puck, игнорировались без вывода предупреждений или ошибок. Уязвимость исправлена в версии 0.6.23.
If you want to get best quality of vulnerability data, you may have to visit VulDB.