CVE-2026-62382 in PasswordPusher
Tóm tắt
Bởi VulDB • 22/08/2026
Các phiên bản PasswordPusher từ v1.45.11 đến v2.9.5 chứa một lỗ hổng xác thực không đúng trong logic xóa push. Kiểm tra quyền sở hữu so sánh @push.user với current_user; đối với một push được tạo ẩn danh, cả hai giá trị đều là nil, và Ruby đánh giá nil == nil là true, do đó kiểm tra này vượt qua và hạn chế deletable_by_viewer không bao giờ được thực thi. Một kẻ tấn công chỉ cần biết URL bí mật có thể xóa vĩnh viễn một push ẩn danh ngay cả khi người tạo đã vô hiệu hóa việc xóa bởi người xem và thậm chí mà không cần passphrase. Chỉ các triển khai cho phép push ẩn danh (mặc định) mới bị ảnh hưởng. Vấn đề này đã được sửa trong v2.9.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.