PT-2026-52574

CVE-2026-57520

Publicado

2026-06-25

Atualizado

2026-06-27

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Bitwarden Server versões anteriores a 2026.5.0

Descrição Existe um problema onde usuários Custom autenticados com a permissão ManageUsers podem escalar privilégios para remover contas de Administrador de uma organização. Isso ocorre devido a uma verificação de hierarquia de função ausente no endpoint de remoção de usuários em massa. Ao fornecer IDs de usuários-organização de Administrador em uma requisição DELETE em massa, um invasor pode ignorar as proteções presentes no caminho de remoção de usuário único.

Recomendações Atualize o Bitwarden Server para a versão 2026.5.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Sanjok Karki

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados