PT-2026-79549
CVE-2026-62382
·
تاريخ النشر
2026-08-22
·
تاريخ التحديث
2026-09-15
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
PasswordPusher من الإصدار 1.45.11 حتى 2.9.5
الوصف
توجد مشكلة في التفويض غير الصحيح في منطق حذف الإرسال. يقارن النظام
@push.user بـ current user؛ وعندما يتم إنشاء إرسال بشكل مجهول، تكون كلتا القيمتين nil. ونظرًا لأن لغة Ruby تعطي قيمة nil == nil كـ true، فإن فحص الملكية ينجح، متجاوزًا قيد deletable by viewer. وهذا يسمح للمهاجم الذي يعرف عنوان URL السري بحذف الدفعة المجهولة الهوية نهائيًا، حتى لو قام منشئها بتعطيل حذف العارض أو إذا كانت عبارة المرور مطلوبة. تؤثر هذه المشكلة فقط على عمليات النشر التي تسمح بالدفعات المجهولة الهوية.التوصيات
قم بتحديث PasswordPusher إلى الإصدار 2.9.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾