CVE-2026-62382 in PasswordPusher
Résumé
par VulDB • 22/08/2026
Les versions de PasswordPusher, de v1.45.11 à v2.9.5, comportent une vulnérabilité d'autorisation incorrecte dans la logique de suppression des pushs. Le contrôle de propriété compare @push.user avec current_user ; pour un push créé anonymement, ces deux valeurs sont nil, et Ruby évalue nil == nil comme true, ce qui fait que le contrôle est validé et que la restriction deletable_by_viewer n'est jamais appliquée. Un attaquant connaissant uniquement l'URL secrète peut supprimer définitivement un push anonyme même lorsque le créateur a désactivé la suppression par les spectateurs (viewers) et même sans connaître la phrase de passe (passphrase). Seuls les déploiements autorisant les pushs anonymes (par défaut) sont affectés. Le problème est corrigé dans la version v2.9.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.