CVE-2026-60104
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w Bitwarden Server przed wersją 2026.6.0 pozwala niskouprzywilejowanemu członkowi organizacji na uzyskanie klucza szyfrowania sejfu innego użytkownika oraz tokena dostępu. Atakujący tworzy żądanie uwierzytelnienia Trusted Device Encryption z własnym kluczem publicznym, a po zatwierdzeniu przez ofiarę, dane są dostępne z nieuwierzytelnionego punktu końcowego, co prowadzi do przejęcia konta ofiary.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta dowolnego użytkownika w organizacji przez osobę o niskich uprawnieniach, co może skutkować wyciekiem poufnych danych przechowywanych w sejfie Bitwarden.
Rekomendacja
Należy niezwłocznie zaktualizować Bitwarden Server do wersji 2026.6.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Bitwarden Server
Zobacz wszystkie- CVE-2026-71959Średnie
Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.
- CVE-2026-57522Niskie
Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).
- CVE-2026-57521Średnie
Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia uwierzytelnionemu użytkownikowi dostęp do danych rozliczeniowych dowolnej organizacji poprzez podanie dowolnego organizationId w endpointach PreviewInvoiceController. Brak kontroli dostępu pozwala na odczytanie podsumowań podatkowych, statusu subskrypcji i szczegółów rozliczeń.
- CVE-2026-57520Wysokie
Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.
- CVE-2026-43640Wysokie
Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.
- CVE-2026-43639Wysokie
Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).
- CVE-2026-43638Średnie
Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server before 2026.6.0 does not verify that the email in a POST /auth-requests/admin-request body belongs to the authenticated caller, allowing a low-privileged organization member to obtain another user's vault key and a victim-scoped access token by creating a Trusted Device Encryption authentication request, bound to an attacker-controlled public key, that is readable from an unauthenticated endpoint once approved resulting in disclosure of the victim's vault key and account takeover.