CVE-2026-57522
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).
Ocena ryzyka
Atakujący może manipulować danymi przesyłanymi do zewnętrznych systemów monitorowania i powiadamiania, co może prowadzić do fałszywych alarmów, ukrycia rzeczywistych zdarzeń bezpieczeństwa lub wprowadzenia w błąd administratorów.
Rekomendacja
Należy niezwłocznie zaktualizować Bitwarden Server do wersji 2026.5.0 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto ograniczyć możliwość zmiany nazwy wyświetlanej tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server before 2026.5.0 contains a JSON injection vulnerability in IntegrationTemplateProcessor.ReplaceTokens(), which substitutes user-controlled values into event-integration templates without JSON encoding. When an organization has configured an event integration whose template references a user-controlled token (such as #ActingUserName# or #UserName#, populated from a member's display name), an authenticated member can set their display name to JSON metacharacters and inject arbitrary key-value pairs into the rendered payloads delivered to webhook, SIEM, Slack, Teams, or Datadog endpoints, making injected fields indistinguishable from legitimate template output.