CVE-2026-71959
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.
Ocena ryzyka
Ryzyko naruszenia integralności dzienników audytu, co może ukryć nieautoryzowane działania i utrudnić wykrywanie incydentów bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 2026.7.2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Bitwarden Server before 2026.7.2 does not verify that the caller is a member of the organization identified in a POST /collect request body, allowing any authenticated user to write forged, arbitrarily backdated entries into any organization's audit log.