Elizarbatin

**Name of the Vulnerable Software and Affected Versions** vaultwarden version 1.33.0 and earlier **Description** The issue allows an attacker with authenticated access to the vaultwarden admin panel to execute arbitrary code in the system. This can be achieved by changing settings to use sendmail as a mail agent, adjusting the settings to use a shell command, and crafting a special favicon image with embedded commands to run during certain actions, such as sending a test email. The vulnerability is reported to affect a significant number of devices, given vaultwarden's popularity, with estimates suggesting it is used in 10% of all companies in some countries. **Recommendations** For versions prior to 1.33.0, update to version 1.33.0 to fix the vulnerability. As a temporary workaround, consider disabling the sendmail functionality and restricting access to the admin panel until the update can be applied. Additionally, restrict access to the favicon image upload feature to minimize the risk of exploitation.

**Nome do Software Vulnerável e Versões Afetadas** versões do vaultwarden anteriores à 1.33.0 **Descrição** O problema permite que um atacante obtenha direitos de proprietário de outra organização. Para explorá-lo, o atacante deve conhecer o ID da organização vítima e ser o proprietário ou administrador de outra organização. Isso pode ser feito por padrão, pois qualquer pessoa pode criar sua própria organização. O número estimado de dispositivos potencialmente afetados não foi especificado. **Recomendações** Para versões anteriores à 1.33.0, atualize para a versão 1.33.0 para prevenir acesso não autorizado. Como solução temporária, considere restringir o acesso à funcionalidade de gerenciamento de organização até que o problema seja resolvido. Adicionalmente, recomenda-se desativar qualquer funcionalidade não utilizada na aplicação para minimizar o risco de exploração.