CVE-2026-62382 in PasswordPusher
Сводка
по VulDB • 22.08.2026
В версиях PasswordPusher от v1.45.11 до v2.9.5 присутствует уязвимость, связанная с неправильной авторизацией в логике удаления пушей (push). Проверка владельца сравнивает @push.user с current_user; для анонимно созданного пуша оба значения равны nil, и Ruby оценивает выражение nil == nil как true, поэтому проверка проходит успешно, а ограничение deletable_by_viewer никогда не применяется. Атакующий, знающий только секретный URL, может навсегда удалить анонимный push даже в том случае, если создатель отключил удаление для зрителей (viewer), и даже без знания пароля (passphrase). Затронуты только развертывания, которые позволяют создавать анонимные пуши (по умолчанию такая возможность включена). Проблема исправлена в версии v2.9.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.