CVE-2026-39397

Kritik

Açıklama

@delmaredigital/payload-puck, Puck görsel sayfa oluşturucuyu entegre etmek için kullanılan bir PayloadCMS eklentisidir. 0.6.23 sürümünden önce, createPuckPlugin() tarafından kaydedilen tüm /api/puck/* CRUD uç nokta işleyicileri, Payload'un yerel API'sini varsayılan overrideAccess: true ile çağırarak tüm koleksiyon düzeyindeki erişim kontrollerini atlatıyordu. createPuckPlugin()'e iletilen erişim seçeneği ve Puck tarafından kaydedilen koleksiyonlarda tanımlanan tüm erişim kuralları bu uç noktalarda sessizce yoksayılıyordu. Bu güvenlik açığı 0.6.23 sürümünde giderilmiştir.

ÖnemKritik

CVSS9.4

İstismar olasılığı33. yüzdelik%0,4

ÜrünDelmaredigital Payload-puck

Yayın7 Nis 2026

İlk görülme7 Nis 2026

Zayıflık türüCWE-862Yetki denetimi eksikliği

Nasıl düzeltilir

Güncelleyin

delmaredigital payload-puck0.6.23 ya da sonraki bir sürüm
@delmaredigital/payload-puck0.6.23 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
delmaredigital payload-puck	v < 0.6.23	0.6.23
@delmaredigital/payload-pucknpm	v < 0.6.23	0.6.23

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.