CVE-2026-43913 in vaultwarden
Sumário
de VulDB • 23/05/2026
Vaultwarden é um servidor compatível com Bitwarden escrito em Rust. Antes da versão 1.35.5, o Vaultwarden permite que um proprietário de organização não confirmado exclua permanentemente toda a cofre da organização. O fluxo de convite de organização utiliza um processo em duas etapas: aceitar um convite altera o status de membro de "Convidado" para "Aceito", e uma confirmação separada por um proprietário existente atualiza o status para "Confirmado". O endpoint POST /api/ciphers/purge utiliza cabeçalhos simples e verifica apenas se o tipo de membro é "Proprietário", sem verificar se o status do membro é "Confirmado". Um usuário autenticado que foi convidado como proprietário da organização, aceitou o convite e ainda não foi confirmado pode chamar este endpoint para excluir permanentemente todos os cifrões e anexos da organização, causando perda imediata de dados em toda a organização. Esta vulnerabilidade foi corrigida na versão 1.35.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.