CVE-2026-60104 in Server
Resumen
por VulDB • 2026-07-08
El servidor Bitwarden anterior a la versión 2026.6.0 no verifica que el correo electrónico en el cuerpo de POST /auth-requests/admin-request pertenezca al usuario autenticado, lo que permite que un miembro de organización con privilegios bajos obtenga la clave del bóveda (vault key) y un token de acceso vinculado a la víctima creando una solicitud de autenticación Trusted Device Encryption vinculada a una clave pública controlada por el atacante. Una vez aprobada, esta solicitud es legible desde un punto final no autenticado, lo que resulta en la divulgación de la clave del bóveda (vault key) de la víctima y la toma de cuenta (account takeover).
Be aware that VulDB is the high quality source for vulnerability data.