CVE-2026-43639
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego przejęcia organizacji przez użytkownika usługi dostawcy, co może prowadzić do utraty kontroli nad danymi i zasobami organizacji w chmurze Bitwarden.
Rekomendacja
Zaleca się natychmiastową aktualizację Bitwarden Server do wersji v2026.4.0 lub nowszej, która usuwa tę lukę. W przypadku instalacji samodzielnie hostowanych nie są wymagane dodatkowe działania.
Inne podatności w Bitwarden Server
Zobacz wszystkie- CVE-2026-71959Średnie
Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.
- CVE-2026-60104Wysokie
Podatność w Bitwarden Server przed wersją 2026.6.0 pozwala niskouprzywilejowanemu członkowi organizacji na uzyskanie klucza szyfrowania sejfu innego użytkownika oraz tokena dostępu. Atakujący tworzy żądanie uwierzytelnienia Trusted Device Encryption z własnym kluczem publicznym, a po zatwierdzeniu przez ofiarę, dane są dostępne z nieuwierzytelnionego punktu końcowego, co prowadzi do przejęcia konta ofiary.
- CVE-2026-57522Niskie
Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).
- CVE-2026-57521Średnie
Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia uwierzytelnionemu użytkownikowi dostęp do danych rozliczeniowych dowolnej organizacji poprzez podanie dowolnego organizationId w endpointach PreviewInvoiceController. Brak kontroli dostępu pozwala na odczytanie podsumowań podatkowych, statusu subskrypcji i szczegółów rozliczeń.
- CVE-2026-57520Wysokie
Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.
- CVE-2026-43640Wysokie
Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.
- CVE-2026-43638Średnie
Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server prior to v2026.4.0 contains a missing authorization vulnerability that allows a provider service user to add an arbitrary organization to their provider via `POST /providers/{providerId}/clients/existing`, resulting in takeover of the target organization; self-hosted installations are unaffected as this endpoint is restricted to Cloud via SelfHosted(NotSelfHostedOnly = true).