CVE-2026-59802
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w PasswordPusher przed wersją 2.8.1 pozwala na akceptowanie schematów data URI w ładunkach URL push z powodu niewystarczającej walidacji w funkcji valid_url. Atakujący mogą tworzyć złośliwe pushy zawierające data:text/html URI, które po kliknięciu wykonują dowolny JavaScript w przeglądarkach ofiar, umożliwiając phishing i kradzież poświadczeń w zaufanej domenie PasswordPusher.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe i kradzież poświadczeń, ponieważ użytkownicy mogą kliknąć w pozornie bezpieczny link z zaufanej domeny, co prowadzi do wykonania złośliwego skryptu i przejęcia danych logowania.
Rekomendacja
Należy natychmiast zaktualizować PasswordPusher do wersji 2.8.1 lub nowszej, która zawiera poprawki walidacji URL-i i blokuje schematy data URI w ładunkach push.
Inne podatności w PasswordPusher
Zobacz wszystkie- CVE-2026-62382Średnie
PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.
- CVE-2026-61458Wysokie
Podatność brute-force w PasswordPusher przed wersją 2.9.2 w endpointcie POST /p/:token/access. Brak ograniczenia szybkości żądań i mechanizmu blokady dla konkretnego pusha umożliwia atakującemu odgadnięcie hasła dostępu przy 120 próbach na minutę.
Oryginalny opis (angielski, źródło NVD)
PasswordPusher before 2.8.1 accepts data URI schemes in URL push payloads due to insufficient validation in the valid_url function. Attackers can create malicious pushes containing data:text/html URIs that execute arbitrary JavaScript in victims' browsers when clicked, enabling phishing and credential theft under the trusted PasswordPusher domain.