CVE-2026-47160
Publiée le 2026-07-15 · Dernière modification le 2026-10-24
Les serveurs Vaultwarden antérieurs à la version 1.36.0 sont vulnérables à une falsification de requête côté serveur (SSRF) car le système de récupération d'icônes ne bloque pas les adresses IP écrites aux formats décimal, hexadécimal ou octal. Un attaquant non authentifié ayant un accès réseau peut exploiter cette faille pour cartographier votre réseau interne ou découvrir des ports ouverts sur votre machine locale. Il s'agit d'une attaque de faible complexité qui ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Vaultwarden is a Bitwarden-compatible server written in Rust. Prior to 1.36.0, Vaultwarden's /icons/{domain}/icon.png endpoint used src/http_client.rs checks including should_block_address() and post_resolve() that missed decimal, hexadecimal, and octal IP representations, allowing SSRF through the icon-fetching HTTP client for blind internal network or port discovery. This issue is fixed in version 1.36.0.