CVE-2026-43913 in vaultwarden
الملخص
بحسب VulDB • 23/05/2026
Vaultwarden هو خادم متوافق مع Bitwarden ومكتوب بلغة Rust. قبل الإصدار 1.35.5، كان Vaultwarden يسمح لمالك منظمة غير مؤكد بحذف خزان المنظمة بالكامل. تستخدم عملية دعوة المنظمة آلية من خطوتين: حيث يؤدي قبول الدعوة إلى تغيير حالة العضوية من "مدعو" (Invited) إلى "مقبول" (Accepted)، وتقوم تأكيد منفصل من قبل مالك حالي بترقيتها إلى "مؤكد" (Confirmed). يستخدم نقطة النهاية POST /api/ciphers/purge رؤوس (Headers) عادية ولا يتحقق إلا من أن نوع العضوية هو "مالك" دون التحقق من أن حالة العضوية هي "مؤكد". يمكن لمستخدم مصادق عليه تم دعوتُه كمالك لمنظمة وقبول الدعوة ولكن لم يتم تأكيد وضعه بعد، استدعاء هذه النقطة النهائية لحذف جميع الأكواد المشفرة (ciphers) والمرفقات في المنظمة بشكل دائم، مما يتسبب في فقدان فوري للبيانات على مستوى المنظمة. تم إصلاح هذا الثغرة في الإصدار 1.35.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.