CVE-2026-62382 in PasswordPusher
Sumário
de VulDB • 22/08/2026
As versões do PasswordPusher, de v1.45.11 a v2.9.5, contêm uma vulnerabilidade de autorização inadequada na lógica de exclusão dos pushes. A verificação de propriedade compara @push.user com current_user; para um push criado anonimamente, ambos os valores são nil, e o Ruby avalia nil == nil como verdadeiro (true), fazendo com que a verificação seja aprovada e a restrição deletable_by_viewer nunca seja aplicada. Um atacante que conheça apenas a URL secreta pode excluir permanentemente um push anônimo mesmo quando o criador desativou a exclusão por visualizadores e até sem a senha de acesso (passphrase). Apenas as implantações que permitem pushes anônimos (o padrão) são afetadas. O problema foi corrigido na versão v2.9.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.