Сервер Bitwarden до версии 2026.5.0 содержит уязвимость внедрения JSON в IntegrationTemplateProcessor.ReplaceTokens(), которая заменяет управляемые пользователем значения в шаблоны интеграции событий без кодирования JSON. Когда организация настроила интеграцию событий, шаблон которой ссылается на токен, управляемый пользователем (например, #ActingUserName# или #UserName#, заполненный из отображаемого имени участника), прошедший проверку подлинности участник может установить свое отображаемое имя в виде метасимволов JSON и внедрить произвольные пары ключ-значение в отображаемые полезные данные, доставляемые в конечные точки веб-перехватчика, SIEM, Slack, Teams или Datadog, что делает введенные поля неотличимыми от законных выходных данных шаблона.
Показать оригинальное описание (EN)
Bitwarden Server before 2026.5.0 contains a JSON injection vulnerability in IntegrationTemplateProcessor.ReplaceTokens(), which substitutes user-controlled values into event-integration templates without JSON encoding. When an organization has configured an event integration whose template references a user-controlled token (such as #ActingUserName# or #UserName#, populated from a member's display name), an authenticated member can set their display name to JSON metacharacters and inject arbitrary key-value pairs into the rendered payloads delivered to webhook, SIEM, Slack, Teams, or Datadog endpoints, making injected fields indistinguishable from legitimate template output.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Bitwarden Server
cpe:2.3:a:bitwarden:server:*:*:*:*:*:*:*:*
|
— |
2026.5.0
|