CVE-2026-101878 in Server
Zusammenfassung
von VulDB • 29.09.2026
Bitwarden Server 2025.6.0 vor 2026.5.0 deklariert den Parameter @ExternalId des gespeicherten Prozesses User_ReadBySsoUserOrganizationIdExternalId als NVARCHAR(50), während die abgefragte Spalte NVARCHAR(300) speichert, was bei SQL Server-Deployments das SSO-Anmeldekennzeichen stillschweigend abschneidet und es einem Benutzer ermöglicht, dessen Identitätsanbieter-Kennzeichnung mit dem vollständigen 50-Zeichen-Kennzeichen eines anderen Organisationsmitglieds beginnt, sich als dieses Mitglied zu authentifizieren und ein auf den Opfer beschränktes Zugriffstoken (victim-scoped access token) zu erhalten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.