Schwachstellenklasse
Bitwarden Server prior to v2026.4.1 does not require master-password re-authentication when retrieving or rotating an organization's SCIM API key, allowing an authenticated user with SCIM management privileges to obtain the key using only a valid session.
Betroffene Produkte
- bitwarden server
Quellen
- https://github.com/bitwarden/server/commit/eb251d9bf80724c87b187661783b9354d1784083
- https://github.com/bitwarden/server/pull/7403
- https://github.com/bitwarden/server/releases/tag/v2026.4.1
- https://sanjokkarki.com.np/blog/bitwarden-scim-key-bypass
- https://www.vulncheck.com/advisories/bitwarden-server-authentication-bypass-via-scim-api-key
Finden Sie die Schwachstelle, bevor es ein Angreifer tut.
Melden Sie sich mit GitHub an und starten Sie Ihr erstes Audit in weniger als einer Minute. Für den kostenlosen Plan ist keine Kreditkarte nötig.