PT-2026-39716 · Bitwarden · Bitwarden Server

Sanjok Karki · Publicado 2026-05-11 · Atualizado 2026-05-16 · CVE-2026-43639

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Bitwarden Server versões anteriores a 2026.4.0

Descrição Uma falha de autorização ausente permite que um usuário de serviço de provedor adicione uma organização arbitrária ao seu provedor. Isso é possível por meio do endpoint 'POST /providers/{providerId}/clients/existing', onde a variável providerId é utilizada. A exploração bem-sucedida pode resultar na tomada de controle da organização alvo. Este problema afeta especificamente instalações em Nuvem, pois o endpoint é restrito e não está disponível em ambientes auto-hospedados.

Recomendações Atualize para a versão 2026.4.0 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-43639

Produtos afetados

Bitwarden Server

Referências · 8

• 🔥 https://sanjokkarki.com.np/blog/bitwarden-provider-takeover · Exploit
• https://github.com/bitwarden/server/commit/0918bfdda6f5eec391c69bd9074f6aef4eac0b1d · Correção
• https://github.com/bitwarden/server/releases/tag/v2026.4.0 · Nota
• https://github.com/bitwarden/server/pull/7372 · Correção
• https://vulncheck.com/advisories/bitwarden-server-missing-authorization-via-provider-clients · Nota
• https://twitter.com/CVEnew/status/2053932411030008234 · Publicação no Twitter
• https://t.me/cveNotify/163724 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-43639 · Nota de Segurança