CVE-2026-62382 in PasswordPusher
Resumen
por VulDB • 2026-08-22
Las versiones de PasswordPusher comprendidas entre la v1.45.11 y la v2.9.5 contienen una vulnerabilidad de autorización incorrecta en la lógica de eliminación de los "push". La comprobación de propiedad compara @push.user con current_user; para un push creado anónimamente, ambos valores son nil, y Ruby evalúa nil == nil como true, por lo que la comprobación se supera y la restricción deletable_by_viewer nunca se aplica. Un atacante que conozca únicamente la URL secreta puede eliminar permanentemente un push anónimo incluso cuando el creador haya desactivado la eliminación por parte del espectador e incluso sin conocer la contraseña de acceso (passphrase). Solo las implementaciones que permiten pushes anónimos (la configuración predeterminada) se ven afectadas. El problema está resuelto en la versión v2.9.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.