CVE-2026-116678

Nome do Software Vulnerável e Versões Afetadas Vaultwarden versões anteriores a 1.37.0

Description O baixador de ícones não aplica a verificação should block host() ao host de segundo estágio ao processar URLs de favicon analisadas a partir de HTML controlado por um invasor e passadas para get page with referer(). Isso permite que um invasor remoto não autenticado use uma URL de literal de IP em um favicon para ignorar a normalização de host e forçar o servidor a alcançar endereços de loopback, privados ou internos. Este problema ocorre em instâncias onde o download de ícones internos está habilitado e pode levar à exposição de respostas internas ou revelar a acessibilidade da rede interna por meio de tempo, status e comportamento de cache.

Recommendations Atualize para a versão 1.37.0. Desative o download de ícones internos como uma medida de mitigação temporária.