Podatności PasswordPusher

PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.

Podatność brute-force w PasswordPusher przed wersją 2.9.2 w endpointcie POST /p/:token/access. Brak ograniczenia szybkości żądań i mechanizmu blokady dla konkretnego pusha umożliwia atakującemu odgadnięcie hasła dostępu przy 120 próbach na minutę.

Podatność w PasswordPusher przed wersją 2.8.1 pozwala na akceptowanie schematów data URI w ładunkach URL push z powodu niewystarczającej walidacji w funkcji valid_url. Atakujący mogą tworzyć złośliwe pushy zawierające data:text/html URI, które po kliknięciu wykonują dowolny JavaScript w przeglądarkach ofiar, umożliwiając phishing i kradzież poświadczeń w zaufanej domenie PasswordPusher.