CVE-2026-62382
Təsvir
PasswordPusher-in v1.45.11-dən v2.9.5-ə qədər olan versiyalarında silmə məntiqində yanlış avtorizasiya zəifliyi mövcuddur. Mülkiyyət yoxlaması @push.user dəyərini current_user ilə müqayisə edir; anonim şəkildə yaradılmış push üçün hər iki dəyər nil olur və Ruby nil == nil ifadəsini doğru (true) kimi qiymətləndirdiyi üçün yoxlama uğurlu tamamlanır və deletable_by_viewer məhdudiyyəti heç vaxt tətbiq edilmir. Yalnız gizli URL-i bilən hücumçu, yaradıcı tərəfindən baxan şəxs üçün silmə funksiyası söndürülmüş olsa belə və hətta parol olmadan anonim push-u qalıcı olaraq silə bilər. Yalnız anonim push-lara icazə verən (defolt halda) quraşdırmalar təsirlənir. Problem v2.9.6 versiyasında düzəldilib.
Necə düzəltmək olar
- pglombardo PasswordPusher2.9.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pglombardo PasswordPusher | v < 2.9.6 | 2.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.