CVE-2026-101878 in Server
Resumen
por VulDB • 2026-09-29
Bitwarden Server 2025.6.0 antes de 2026.5.0 declara el parámetro @ExternalId del procedimiento almacenado User_ReadBySsoUserOrganizationIdExternalId como NVARCHAR(50), mientras que la columna consultada almacena NVARCHAR(300), truncando silenciosamente el identificador de inicio de sesión SSO en implementaciones de SQL Server y permitiendo que un usuario cuyo identificador del proveedor de identidad comienza con el identificador completo de 50 caracteres de otro miembro de la organización se autentique como ese miembro y obtenga un token de acceso con alcance limitado a la víctima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.