🇰🇷 한글 설명
2026.5.0 미만 버전의 Bitwarden Server에서 IntegrationTemplateProcessor.ReplaceTokens() 함수 내 JSON 인젝션 취약점이 발견되었습니다. 공격자가 사용자 제어 토큰(예: 표시 이름)에 JSON 메타문자를 포함시켜 웹훅, SIEM, Slack 등으로 전송되는 페이로드에 임의의 키-값 쌍을 주입할 수 있습니다.
💡 쉬운 설명
사용자 이름에 특수 문자를 넣어 시스템이 자동으로 보내는 알림 메시지의 내용을 조작할 수 있는 보안 약점입니다. 이를 통해 가짜 정보를 알림 시스템에 끼워 넣어 관리자를 속일 수 있습니다.
🇺🇸 원문 (English)
Bitwarden Server before 2026.5.0 contains a JSON injection vulnerability in IntegrationTemplateProcessor.ReplaceTokens(), which substitutes user-controlled values into event-integration templates without JSON encoding. When an organization has configured an event integration whose template references a user-controlled token (such as #ActingUserName# or #UserName#, populated from a member's display name), an authenticated member can set their display name to JSON metacharacters and inject arbitrary key-value pairs into the rendered payloads delivered to webhook, SIEM, Slack, Teams, or Datadog endpoints, making injected fields indistinguishable from legitimate template output.
📍 영향받는 시스템
Bitwarden Server versions before 2026.5.0
⚔️ 공격 벡터
인증된 사용자가 자신의 표시 이름(Display Name)을 JSON 메타문자가 포함된 값으로 변경하여 이벤트 통합 템플릿에 주입
🛡️ 대응 방법
Bitwarden Server를 2026.5.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2026.5.0 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<bitwarden-server-url>/api/status | grep -i 'version'