CVE-2026-62382 in PasswordPusher
要約
〜によって VulDB • 2026年08月22日
PasswordPusher のバージョン v1.45.11 から v2.9.5 には、プッシュ削除ロジックにおける不適切な認可（improper authorization）の脆弱性が存在します。所有権チェックは `@push.user` と `current_user` を比較しますが、匿名で作成されたプッシュの場合、両方の値が nil であり、Ruby は `nil == nil` を true と評価するため、チェックが通過し、`deletable_by_viewer` の制限が全く適用されません。秘密の URL（secret URL）のみを知っている攻撃者は、作成者が閲覧者による削除を無効にしている場合やパスフレーズがない場合でも、匿名プッシュを永久的に削除できます。影響を受けるのは、匿名でのプッシュを許可するデプロイメント（既定値）のみです。この問題は v2.9.6 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.