PT-2026-39662 · Bitwarden · Bitwarden Server

Sanjok Karki · Publicado 2026-05-11 · Atualizado 2026-05-16 · CVE-2026-43638

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Bitwarden Server versões anteriores a 2026.4.1

Descrição Uma falha de autorização ausente permite que qualquer usuário autenticado grave cifras em uma organização arbitrária. Isso ocorre ao enviar um array collections vazio para o endpoint 'POST /ciphers/import-organization', o que faz com que a verificação de permissão no lado do servidor seja ignorada.

Recomendações Atualize para a versão 2026.4.1 ou posterior. Evite usar o parâmetro collections com um array vazio no endpoint 'POST /ciphers/import-organization' até que a atualização seja aplicada.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-43638

Produtos afetados

Bitwarden Server

Referências · 8

• 🔥 https://sanjokkarki.com.np/blog/bitwarden-import-org-bypass · Exploit
• https://github.com/bitwarden/server/pull/7394 · Correção
• https://github.com/bitwarden/server/commit/ebbf6dd0fa752114c09d73abb48ce32a50476758 · Correção
• https://github.com/bitwarden/server/releases/tag/v2026.4.1 · Nota
• https://twitter.com/CVEnew/status/2053932412053410208 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-43638 · Nota de Segurança
• https://vulncheck.com/advisories/bitwarden-server-missing-authorization-via-organization-cipher-import · Nota
• https://t.me/cveNotify/163723 · Publicação no Telegram