PT-2026-56552
CVE-2026-60104
·
تاريخ النشر
2026-07-08
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Bitwarden Server الأقدم من 2026.6.0
الوصف
توجد مشكلة تتمثل في فشل الخادم في التحقق مما إذا كان عنوان البريد الإلكتروني المقدم في نص نقطة النهاية ’POST /auth-requests/admin-request‘ ينتمي إلى المستخدم الذي تمت مصادقته. وهذا يسمح لأحد أعضاء المؤسسة ذي الصلاحيات المحدودة ببدء طلب مصادقة ”تشفير الجهاز الموثوق به“ (Trusted Device Encryption) المرتبط بمفتاح عام يتحكم فيه المهاجم. بمجرد الموافقة على الطلب، يصبح قابلاً للقراءة من نقطة نهاية غير مصدقة، مما يمكّن المهاجم من الحصول على مفتاح خزنة مستخدم آخر ورمز وصول خاص بالضحية، مما يؤدي إلى الاستيلاء على الحساب والكشف عن مفتاح الخزنة.
التوصيات
تحديث خادم Bitwarden إلى الإصدار 2026.6.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾