PT-2026-39716

CVE-2026-43639

Publicado

2026-05-11

Atualizado

2026-05-16

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Bitwarden Server versões anteriores a 2026.4.0

Descrição Uma falha de autorização ausente permite que um usuário de serviço de provedor adicione uma organização arbitrária ao seu provedor. Isso é possível por meio do endpoint 'POST /providers/{providerId}/clients/existing', onde a variável providerId é utilizada. A exploração bem-sucedida pode resultar na tomada de controle da organização alvo. Este problema afeta especificamente instalações em Nuvem, pois o endpoint é restrito e não está disponível em ambientes auto-hospedados.

Recomendações Atualize para a versão 2026.4.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Sanjok Karki

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados