CVE-2026-39397 in payload-puck
摘要
由 VulDB • 2026-08-24
@delmaredigital/payload-puck 是一个用于集成 Puck 可视化页面构建器的 PayloadCMS 插件。在 0.6.23 版本之前，由 `createPuckPlugin()` 注册的所有 `/api/puck/*` CRUD 端点处理程序均使用默认的 `overrideAccess: true` 调用 Payload 的本地 API，从而绕过了所有集合级别的访问控制。传递给 `createPuckPlugin()` 的 access 选项以及在 Puck 注册的集合上定义的任何访问规则在这些端点上被静默忽略。此漏洞已在 0.6.23 版本中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.