CVE-2026-119414

Bitwarden Server w wersji od 2025.6.0 do 2026.5.0 deklaruje parametr @ExternalId procedury User_ReadBySsoUserOrganizationIdExternalId jako NVARCHAR(50), podczas gdy kolumna, którą odczytuje, przechowuje NVARCHAR(300), co po cichu obcina identyfikator logowania SSO w wdrożeniach SQL Server. Umożliwia to użytkownikowi, którego identyfikator dostawcy tożsamości zaczyna się od pełnego 50-znakowego identyfikatora innego członka organizacji, uwierzytelnienie się jako ten członek i uzyskanie tokenu dostępu w zakresie ofiary.

Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.

Podatność w Bitwarden Server przed wersją 2026.6.0 pozwala niskouprzywilejowanemu członkowi organizacji na uzyskanie klucza szyfrowania sejfu innego użytkownika oraz tokena dostępu. Atakujący tworzy żądanie uwierzytelnienia Trusted Device Encryption z własnym kluczem publicznym, a po zatwierdzeniu przez ofiarę, dane są dostępne z nieuwierzytelnionego punktu końcowego, co prowadzi do przejęcia konta ofiary.

Bitwarden Server przed wersją 2026.5.0 zawiera podatność na wstrzykiwanie JSON w metodzie IntegrationTemplateProcessor.ReplaceTokens(). Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na znaki specjalne JSON, co pozwala na wstrzyknięcie dowolnych par klucz-wartość do ładunków JSON wysyłanych do skonfigurowanych integracji zdarzeń (webhook, SIEM, Slack, Teams, Datadog).

Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia uwierzytelnionemu użytkownikowi dostęp do danych rozliczeniowych dowolnej organizacji poprzez podanie dowolnego organizationId w endpointach PreviewInvoiceController. Brak kontroli dostępu pozwala na odczytanie podsumowań podatkowych, statusu subskrypcji i szczegółów rozliczeń.

Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.

Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.

Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).

Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.