PT-2026-39717 · Bitwarden · Bitwarden Server

Sanjok Karki · Publicado 2026-05-11 · Atualizado 2026-05-16 · CVE-2026-43640

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Bitwarden Server versões anteriores a 2026.4.1

Descrição Existe um problema onde a reautenticação da senha mestra não é exigida ao recuperar ou rotacionar a chave de API SCIM de uma organização. Isso permite que um usuário autenticado com privilégios de gerenciamento de SCIM obtenha a chave usando apenas uma sessão válida.

Recomendações Atualize para a versão 2026.4.1 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-303

Identificadores relacionados

CVE-2026-43640

Produtos afetados

Bitwarden Server

Referências · 11

• 🔥 https://sanjokkarki.com.np/blog/bitwarden-scim-key-bypass · Exploit
• https://github.com/bitwarden/server/commit/eb251d9bf80724c87b187661783b9354d1784083 · Correção
• https://github.com/bitwarden/server/releases/tag/v2026.4.1 · Nota
• https://github.com/bitwarden/server/pull/7403 · Correção
• https://twitter.com/Netlas_io/status/2054227644825133245 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/2054374982818419015 · Publicação no Twitter
• https://t.me/cveNotify/163725 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-43640 · Nota de Segurança
• https://t.me/netlas/565 · Publicação no Telegram
• https://vulncheck.com/advisories/bitwarden-server-authentication-bypass-via-scim-api-key · Nota
• https://twitter.com/CVEnew/status/2053932409079693379 · Publicação no Twitter