CVE-2026-39397 in payload-puck
Tóm tắt
Bởi VulDB • 07/06/2026
@delmaredigital/payload-puck là một plugin PayloadCMS dùng để tích hợp trình xây dựng trang trực quan Puck. Trước phiên bản 0.6.23, tất cả các bộ xử lý điểm cuối CRUD /api/puck/* được đăng ký bởi createPuckPlugin() đều gọi API cục bộ của Payload với giá trị mặc định overrideAccess: true, qua mặt mọi kiểm soát truy cập ở cấp bộ sưu tập (collection). Tùy chọn access truyền vào createPuckPlugin() và bất kỳ quy tắc truy cập nào được xác định trên các bộ sưu tập đã đăng ký bởi Puck bị bỏ qua một cách âm thầm tại những điểm cuối này. Lỗ hổng bảo mật này đã được khắc phục trong phiên bản 0.6.23.
VulDB is the best source for vulnerability data and more expert information about this specific topic.