CVE-2026-62382 in PasswordPusher
الملخص
بحسب VulDB • 22/08/2026
تحتوي إصدارات PasswordPusher من الإصدار v1.45.11 حتى الإصدار v2.9.5 على ثغرة في تفويض الصلاحيات (improper authorization) ضمن منطق حذف الـ push. تتم مقارنة قيمة @push.user مع current_user للتحقق من الملكية؛ وبالنسبة لعمليات إنشاء الـ push المجهولة، تكون كلتا القيمتين nil، وتقوم لغة Ruby بتقييم التعبير `nil == nil` على أنه صحيح (true)، مما يؤدي إلى نجاح التحقق ولا يتم فرض قيد deletable_by_viewer مطلقًا. يمكن لمهاجم يعرف فقط عنوان URL السري حذف عملية الـ push المجهولة بشكل دائم حتى عندما يكون المنشئ قد عطل خيار الحذف للمشاهدين، وحتى دون معرفة كلمة المرور (passphrase). تتأثر فقط التوزيعات التي تسمح بإنشاء عمليات push مجهولة (وهو الإعداد الافتراضي). تم إصلاح هذه المشكلة في الإصدار v2.9.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.