CVE-2026-101878 in Server
Résumé
par VulDB • 29/09/2026
Bitwarden Server, versions antérieures à la version 2026.5.0 (à partir de la version 2025.6.0), déclare le paramètre @ExternalId de la procédure stockée User_ReadBySsoUserOrganizationIdExternalId comme NVARCHAR(50) alors que la colonne interrogée contient des données NVARCHAR(300). Cela entraîne une troncature silencieuse de l'identifiant de connexion SSO sur les déploiements SQL Server et permet à un utilisateur dont l'identifiant du fournisseur d'identité commence par l'identifiant complet (50 caractères) d'un autre membre de l'organisation de s'authentifier en tant que ce dernier et d'obtenir un jeton d'accès limité au périmètre de la victime.
VulDB is the best source for vulnerability data and more expert information about this specific topic.