CVE-2026-87816
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
PasswordPusher przed wersją 2.11.1 zawiera podatność typu time-of-check-to-time-of-use (TOCTOU) w egzekwowaniu limitu wyświetleń, która pozwala nieuwierzytelnionym atakującym na obejście limitów expire_after_views. Atakujący mogą wysyłać równoczesne żądania do punktu końcowego show, aby uzyskać dostęp do jednorazowych sekretów wielokrotnie, zanim licznik wyświetleń zostanie zwiększony i push wygaśnie.
Ocena ryzyka
Ryzyko wielokrotnego ujawnienia jednorazowych sekretów, co może prowadzić do naruszenia poufności danych i nieautoryzowanego dostępu do chronionych informacji.
Rekomendacja
Zaktualizuj PasswordPusher do wersji 2.11.1 lub nowszej oraz rozważ dodanie mechanizmów blokowania równoczesnych żądań.
Inne podatności w PasswordPusher
Zobacz wszystkie- CVE-2026-62382Średnie
PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.
- CVE-2026-61458Wysokie
Podatność brute-force w PasswordPusher przed wersją 2.9.2 w endpointcie POST /p/:token/access. Brak ograniczenia szybkości żądań i mechanizmu blokady dla konkretnego pusha umożliwia atakującemu odgadnięcie hasła dostępu przy 120 próbach na minutę.
- CVE-2026-59802Wysokie
Podatność w PasswordPusher przed wersją 2.8.1 pozwala na akceptowanie schematów data URI w ładunkach URL push z powodu niewystarczającej walidacji w funkcji valid_url. Atakujący mogą tworzyć złośliwe pushy zawierające data:text/html URI, które po kliknięciu wykonują dowolny JavaScript w przeglądarkach ofiar, umożliwiając phishing i kradzież poświadczeń w zaufanej domenie PasswordPusher.
Oryginalny opis (angielski, źródło NVD)
PasswordPusher before 2.11.1 contains a time-of-check-to-time-of-use race condition in view limit enforcement that allows unauthenticated attackers to bypass expire_after_views limits. Attackers can send concurrent requests to the show endpoint to access one-time secrets multiple times before the view count is incremented and the push expires.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS