CVE-2026-61458
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność brute-force w PasswordPusher przed wersją 2.9.2 w endpointcie POST /p/:token/access. Brak ograniczenia szybkości żądań i mechanizmu blokady dla konkretnego pusha umożliwia atakującemu odgadnięcie hasła dostępu przy 120 próbach na minutę.
Ocena ryzyka
Ryzyko polega na możliwości odzyskania krótkich lub słownikowych haseł w ciągu godzin lub dni, co może prowadzić do nieautoryzowanego dostępu do chronionych treści.
Rekomendacja
Zaleca się natychmiastową aktualizację PasswordPusher do wersji 2.9.2 lub nowszej, która zawiera poprawki ograniczające szybkość żądań i blokadę dla konkretnego pusha.
Inne podatności w PasswordPusher
Zobacz wszystkie- CVE-2026-62382Średnie
PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.
- CVE-2026-59802Wysokie
Podatność w PasswordPusher przed wersją 2.8.1 pozwala na akceptowanie schematów data URI w ładunkach URL push z powodu niewystarczającej walidacji w funkcji valid_url. Atakujący mogą tworzyć złośliwe pushy zawierające data:text/html URI, które po kliknięciu wykonują dowolny JavaScript w przeglądarkach ofiar, umożliwiając phishing i kradzież poświadczeń w zaufanej domenie PasswordPusher.
Oryginalny opis (angielski, źródło NVD)
PasswordPusher before 2.9.2 contains a brute-force vulnerability in the POST /p/:token/access endpoint that lacks route-specific rate limiting and per-push lockout mechanisms. Attackers who know a push token can systematically guess passphrases at 120 attempts per minute without triggering any push-level defense, making short or dictionary-derived passphrases practically recoverable within hours or days.