CVE-2026-62382 in PasswordPusher
요약
\~에 의해 VulDB • 2026. 08. 22.
PasswordPusher 버전 v1.45.11부터 v2.9.5까지에는 푸시 삭제 로직에서 부적절한 권한 부여(improper authorization) 취약점이 존재합니다. 소유권 확인은 @push.user를 current_user와 비교하는데, 익명으로 생성된 푸시의 경우 두 값 모두 nil이며, Ruby는 nil == nil을 true로 평가하므로 확인이 통과하고 deletable_by_viewer 제한이 전혀 적용되지 않습니다. 비밀 URL만 알고 있는 공격자는 작성자가 뷰어 삭제를 비활성화했거나 암호구문(passphrase) 없이도 익명 푸시를 영구적으로 삭제할 수 있습니다. 익명 푸시를 허용하는 배포(기본 설정)에서만 영향을 받습니다. 이 문제는 v2.9.6에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.