PT-2024-28738 · Unknown · Vaultwarden

Mirko Richter + 1 · Publicado 2024-09-13 · Atualizado 2025-07-10 · CVE-2024-39926

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Vaultwarden (anteriormente Bitwarden RS) versão 1.30.3

Descrição

Foi descoberta uma vulnerabilidade de cross-site scripting (XSS) armazenado ou injeção de HTML no painel de administração. Isso permite, potencialmente, que um invasor autenticado injete código malicioso no painel, o qual é então executado ou renderizado no contexto do navegador do administrador ao visualizar o conteúdo injetado. A Política de Segurança de Conteúdo (CSP) padrão do aplicativo bloqueia a maioria das vias de exploração, mitigando significativamente o impacto potencial.

Recomendações

Para a versão 1.30.3, considere desativar o acesso ao painel de administração até que uma correção esteja disponível para evitar possíveis explorações. Restrinja o uso do componente vulnerável no painel de administração para minimizar o risco de injeção de código malicioso.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-39926

Produtos afetados

Vaultwarden

Referências · 9

• 🔥 https://mgm-sp.com/cve/html-injection-in-vaultwarden · Exploit
• https://github.com/dani-garcia/vaultwarden/releases/tag/1.32.0 · Nota
• https://github.com/dani-garcia/vaultwarden/blob/1.30.3/src/static/scripts/admin_users.js#L201 · Nota
• https://t.me/cvenotify/128328 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-39926 · Nota de Segurança
• https://t.me/cvedetector/5644 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-39926 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1834648955050934629 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1834696386048106738 · Publicação no Twitter