CVE-2026-57522
Açıklama
2026.5.0 öncesindeki Bitwarden Server, IntegrationTemplateProcessor.ReplaceTokens() fonksiyonunda, kullanıcı kontrollü değerleri JSON kodlaması yapmadan olay entegrasyon şablonlarına yerleştiren bir JSON injection zafiyeti içermektedir. Bir kuruluş, şablonu kullanıcı kontrollü bir tokene (bir üyenin görünen adından doldurulan #ActingUserName# veya #UserName# gibi) referans veren bir olay entegrasyonu yapılandırdığında; kimliği doğrulanmış bir üye, görünen adını JSON meta karakterleri olarak ayarlayabilir ve webhook, SIEM, Slack, Teams veya Datadog uç noktalarına iletilen oluşturulmuş yüklerle rastgele anahtar-değer çiftleri enjekte edebilir; bu durum, enjekte edilen alanların meşru şablon çıktısından ayırt edilememesine neden olur.
Nasıl düzeltilir
- bitwarden server2026.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bitwarden server | v < 2026.5.0 | 2026.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.