Сервер Bitwarden до версии 2026.5.0 содержит уязвимость повышения привилегий, которая позволяет прошедшим проверку подлинности пользовательским пользователям с разрешением ManageUsers удалять учетные записи администратора из организации, используя проверку отсутствующей иерархии ролей в конечной точке массового удаления пользователей. Злоумышленники могут предоставить идентификаторы пользователей организации-администратора в массовом запросе DELETE, чтобы обойти защиту, установленную на пути удаления одного пользователя, и эффективно удалить одну или несколько учетных записей администратора из организации.
Показать оригинальное описание (EN)
Bitwarden Server before 2026.5.0 contains a privilege escalation vulnerability that allows authenticated Custom users with ManageUsers permission to remove Admin accounts from an organization by exploiting a missing role hierarchy check in the bulk user-remove endpoint. Attackers can supply Admin organization-user IDs in a bulk DELETE request to bypass the guard enforced on the single-user removal path, effectively removing one or more Admin accounts from an organization.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Bitwarden Server
cpe:2.3:a:bitwarden:server:*:*:*:*:*:*:*:*
|
— |
2026.5.0
|