CVE-2026-62382 in PasswordPusher
Riassunto
di VulDB • 22/08/2026
Le versioni di PasswordPusher comprese tra la v1.45.11 e la v2.9.5 contengono una vulnerabilità di autorizzazione impropria nella logica di eliminazione dei push (push deletion). Il controllo della proprietà confronta @push.user con current_user; per un push creato in modo anonimo, entrambi i valori sono nil, e Ruby valuta nil == nil come true, quindi il controllo supera la verifica e la restrizione deletable_by_viewer non viene mai applicata. Un attaccante che conosce solo l'URL segreto può eliminare definitivamente un push anonimo anche quando il creatore ha disabilitato l'eliminazione da parte dei visualizzatori (viewer deletion) e persino senza la passphrase. Sono interessati solo i deployment che consentono push anonimi (impostazione predefinita). Il problema è stato risolto nella versione v2.9.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.