CVE-2026-57520
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień, gdzie zwykły użytkownik może usunąć administratorów, co prowadzi do przejęcia kontroli nad organizacją i utraty dostępu do zarządzanych haseł.
Rekomendacja
Należy niezwłocznie zaktualizować serwer Bitwarden do wersji 2026.5.0 lub nowszej, która zawiera poprawkę usuwającą tę lukę.
Inne podatności w Bitwarden Server
Zobacz wszystkie- CVE-2026-71959Średnie
Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.
- CVE-2026-60104Wysokie
Podatność w Bitwarden Server przed wersją 2026.6.0 pozwala niskouprzywilejowanemu członkowi organizacji na uzyskanie klucza szyfrowania sejfu innego użytkownika oraz tokena dostępu. Atakujący tworzy żądanie uwierzytelnienia Trusted Device Encryption z własnym kluczem publicznym, a po zatwierdzeniu przez ofiarę, dane są dostępne z nieuwierzytelnionego punktu końcowego, co prowadzi do przejęcia konta ofiary.
- CVE-2026-57522Niskie
Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).
- CVE-2026-57521Średnie
Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia uwierzytelnionemu użytkownikowi dostęp do danych rozliczeniowych dowolnej organizacji poprzez podanie dowolnego organizationId w endpointach PreviewInvoiceController. Brak kontroli dostępu pozwala na odczytanie podsumowań podatkowych, statusu subskrypcji i szczegółów rozliczeń.
- CVE-2026-43640Wysokie
Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.
- CVE-2026-43639Wysokie
Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).
- CVE-2026-43638Średnie
Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server before 2026.5.0 contains a privilege escalation vulnerability that allows authenticated Custom users with ManageUsers permission to remove Admin accounts from an organization by exploiting a missing role hierarchy check in the bulk user-remove endpoint. Attackers can supply Admin organization-user IDs in a bulk DELETE request to bypass the guard enforced on the single-user removal path, effectively removing one or more Admin accounts from an organization.