CVE-2026-43913
WysokieStreszczenie
Vaultwarden, serwer kompatybilny z Bitwarden, przed wersją 1.35.5 pozwalał niepotwierdzonemu właścicielowi organizacji na usunięcie całego skarbca organizacji. Proces zapraszania do organizacji nie weryfikował statusu potwierdzenia, co umożliwiało usunięcie danych przez użytkownika zaproszonego jako właściciel.
Ocena ryzyka
Organizacja może doświadczyć natychmiastowej utraty danych w wyniku nieautoryzowanego usunięcia wszystkich ciphers i załączników. To stwarza poważne ryzyko dla integralności danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.35.5 lub nowszej, aby zabezpieczyć się przed tą podatnością. Dodatkowo, należy wprowadzić dodatkowe kontrole w procesie zapraszania, aby upewnić się, że tylko potwierdzeni właściciele mogą wykonywać operacje usuwania.
Inne podatności w Vaultwarden
Zobacz wszystkie- CVE-2026-43914Wysokie
W Vaultwarden, przed wersją 1.35.4, występuje podatność, która pozwala na ominięcie ochrony przed atakami brute-force na logowanie, jeśli włączona jest dwuetapowa weryfikacja (2fa) przez e-mail. Funkcja 2fa send_email_login działa jako oracle, co umożliwia atakującym testowanie kombinacji nazwy użytkownika i hasła bez ograniczeń czasowych.
- CVE-2026-43912Wysokie
Vaultwarden przed wersją 1.35.5 nie weryfikuje, czy wpisy dotyczące użytkowników i grup należą do tej samej organizacji, co prowadzi do możliwości nieautoryzowanego dostępu do danych w skarbcu innej organizacji.
- CVE-2026-47164Wysokie
Podatność w Vaultwarden przed wersją 1.36.0 umożliwia atakującemu przejęcie konta ofiary poprzez SSO. Problem wynika z braku weryfikacji atrybutu email_verified od IdP podczas łączenia tożsamości z istniejącym kontem lokalnym.
- CVE-2026-47160Średnie
Podatność SSRF w Vaultwarden przed wersją 1.36.0 pozwalała na ominięcie walidacji adresów IP w formacie dziesiętnym, szesnastkowym i ósemkowym podczas pobierania ikon, co umożliwiało skanowanie wewnętrznych portów i sieci.
- CVE-2026-47159Średnie
Podatność w Vaultwarden przed wersją 1.36.0 umożliwiała wyciek metadanych SSO organizacji, w tym identyfikatora organizationIdentifier, dla dowolnych adresów e-mail. Pozwalało to na uzyskanie ważnego tokena JWT do pre-walidacji SSO, co ułatwiało enumerację organizacji i nadużycie procesu uwierzytelniania.
- CVE-2026-47158Wysokie
Podatność w Vaultwarden przed wersją 1.36.0 umożliwia nieuwierzytelnionemu atakującemu przejęcie sesji użytkownika poprzez manipulację przepływem autoryzacji SSO. Brak powiązania parametru OAuth state z sesją przeglądarki oraz akceptacja kontrolowanych przez atakującego parametrów PKCE pozwalają na wywołanie uwierzytelnienia u dostawcy tożsamości i przechwycenie tokenów.
- CVE-2026-33420Średnie
Vaultwarden w wersji 1.35.4 i wcześniejszych ma brak sprawdzenia has_full_access() w punkcie końcowym get_org_collections_details (GET /api/organizations/{org_id}/collections/details), które istnieje w pokrewnym punkcie get_org_collections. Pozwala to użytkownikom z rolą Manager z accessAll=False i bez przypisanych kolekcji na pobranie nazw, UUID, mapowań użytkownik-kolekcja i grupa-kolekcja dla wszystkich kolekcji w organizacji. Problem został naprawiony w wersji 1.35.5.
- CVE-2026-31835Średnie
Vaultwarden w wersji 1.35.4 i wcześniejszych zawiera podatność w przepływie uwierzytelniania WebAuthn. Funkcja validate_webauthn_login() aktualizuje trwałe metadane poświadczeń (flagi backup_eligible i backup_state) na podstawie niezweryfikowanego authenticatorData przed walidacją podpisu. Atakujący znający hasło użytkownika, ale nie mogący wygenerować prawidłowego podpisu WebAuthn, może trwale zmodyfikować flagi kopii zapasowej dla danego poświadczenia. Jeśli weryfikacja podpisu nie powiedzie się, aktualizacja bazy danych nie jest wycofywana. Może to prowadzić do trwałej odmowy usługi uwierzytelniania dwuskładnikowego WebAuthn. Problem naprawiony w wersji 1.35.5.
Oryginalny opis (angielski, źródło NVD)
Vaultwarden is a Bitwarden-compatible server written in Rust. Prior to 1.35.5, Vaultwarden allows an unconfirmed organization owner to purge the entire organization vault. The organization invite flow uses a two-step process: accepting an invite transitions membership from Invited to Accepted, and a separate confirmation by an existing owner upgrades it to Confirmed. The POST /api/ciphers/purge endpoint uses plain Headers and only checks that the membership type is Owner without verifying that the membership status is Confirmed. An authenticated user who has been invited as an organization owner and has accepted the invite and has not yet been confirmed can call this endpoint to hard-delete all ciphers and attachments in the organization, causing immediate organization-wide data loss. This vulnerability is fixed in 1.35.5.