CVE-2026-43640
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca z dostępem do sesji może przejąć klucz API SCIM, co może prowadzić do nieautoryzowanego dostępu do funkcji zarządzania tożsamością i potencjalnie do naruszenia kont użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację Bitwarden Server do wersji v2026.4.1 lub nowszej, która wymaga ponownego uwierzytelnienia hasłem głównym przy dostępie do klucza API SCIM.
Inne podatności w Bitwarden Server
Zobacz wszystkie- CVE-2026-71959Średnie
Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.
- CVE-2026-60104Wysokie
Podatność w Bitwarden Server przed wersją 2026.6.0 pozwala niskouprzywilejowanemu członkowi organizacji na uzyskanie klucza szyfrowania sejfu innego użytkownika oraz tokena dostępu. Atakujący tworzy żądanie uwierzytelnienia Trusted Device Encryption z własnym kluczem publicznym, a po zatwierdzeniu przez ofiarę, dane są dostępne z nieuwierzytelnionego punktu końcowego, co prowadzi do przejęcia konta ofiary.
- CVE-2026-57522Niskie
Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).
- CVE-2026-57521Średnie
Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia uwierzytelnionemu użytkownikowi dostęp do danych rozliczeniowych dowolnej organizacji poprzez podanie dowolnego organizationId w endpointach PreviewInvoiceController. Brak kontroli dostępu pozwala na odczytanie podsumowań podatkowych, statusu subskrypcji i szczegółów rozliczeń.
- CVE-2026-57520Wysokie
Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.
- CVE-2026-43639Wysokie
Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).
- CVE-2026-43638Średnie
Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server prior to v2026.4.1 does not require master-password re-authentication when retrieving or rotating an organization's SCIM API key, allowing an authenticated user with SCIM management privileges to obtain the key using only a valid session.