@delmaredigital/payload-puc में /api/puck/* CRUD एंडपॉइंट्स पर प्राधिकरण की कमी है, जो Puck-पंजीकृत संग्रहों तक गैर-प्रमाणित पहुंच की अनुमति देती है

CVE-2026-39397 @delmaredigital/payload-puck में एक अनधिकृत हमलावर को Payload सिस्टम के भीतर संवेदनशील डेटा तक पहुंचने की अनुमति देता है। विशेष रूप से, createPuckPlugin() द्वारा पंजीकृत /api/puck/* एंडपॉइंट के लिए CRUD (Create, Read, Update, Delete) हैंडलर ने overrideAccess: true के साथ Payload के स्थानीय API को कॉल किया, प्रभावी रूप से संग्रह-स्तरीय एक्सेस नियंत्रण को अनदेखा कर दिया। इसका मतलब है कि एक हमलावर बिना प्रमाणीकरण या प्राधिकरण के किसी भी Puck-पंजीकृत संग्रह में सभी दस्तावेज़ों (ड्राफ्ट सहित) को सूचीबद्ध कर सकता है और किसी भी दस्तावेज़ को पढ़ सकता है।

Organizations utilizing Payload CMS with the @delmaredigital/payload-puck plugin are at risk, particularly those with less stringent security practices or those relying on the plugin for critical data management. Shared hosting environments where Payload CMS is deployed could also be affected, as the vulnerability could be exploited through a compromised instance.

• nodejs / server:

  npm list @delmaredigital/payload-puck

If the version is less than 0.6.23, the system is vulnerable. • nodejs / server:

  grep -r 'overrideAccess: true' ./node_modules/@delmaredigital/payload-puck/

This searches for the vulnerable configuration setting within the plugin's code. • generic web: Check Payload CMS API endpoints (e.g., /api/puck/collections) for unauthorized access. Monitor access logs for unusual activity.

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-08
3. EPSS अद्यतन2026-04-15

इस भेद्यता के लिए समाधान @delmaredigital/payload-puck प्लगइन को संस्करण 0.6.23 या उच्चतर में अपडेट करना है। यह संस्करण /api/puck/* एंडपॉइंट पर संग्रह-स्तरीय एक्सेस नियंत्रण को सही ढंग से लागू करके इस मुद्दे को ठीक करता है। अनधिकृत डेटा एक्सेस के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, अपने Puck संग्रह कॉन्फ़िगरेशन की समीक्षा करें ताकि यह सुनिश्चित हो सके कि एक्सेस नियम सही ढंग से परिभाषित हैं और आपके इच्छित सुरक्षा नीतियों को दर्शाते हैं।