Se ha descubierto una vulnerabilidad crítica relacionada con el ataque por secuencias de comandos entre sitios (XSS) en el gestor de contraseñas Bitwarden, que afecta a versiones hasta la 2.25.1. La falla se denomina CVE-2025-5138 y está clasificada como CWE-79.
Detalles técnicos
La vulnerabilidad surge debido a restricciones insuficientes de tipo de archivo en la función de carga de recursos de Bitwarden. La aplicación no valida correctamente los documentos PDF cargados, lo que permite a los atacantes subir archivos maliciosos que pueden ejecutar código arbitrario al ser visualizados por los usuarios.
La vulnerabilidad afecta específicamente a la funcionalidad del controlador de archivos PDF. La entrada controlable por el usuario no se neutraliza correctamente antes de ser insertada en la salida que sirve páginas web a otros usuarios.
Exploit y prueba de concepto
El investigador de seguridad YZS17 ha publicado una prueba de concepto (PoC) detallada que demuestra la técnica de explotación en GitHub. El ataque sigue un proceso sencillo: el atacante crea un nuevo proyecto dentro de la interfaz de Bitwarden y sube un archivo PDF especialmente diseñado que contiene código JavaScript malicioso.
Cuando los usuarios legítimos abren el archivo PDF a través de Google Chrome u otros navegadores, el código incrustado se ejecuta automáticamente. La PoC revela que la vulnerabilidad explota las capacidades nativas de renderizado de PDF del navegador, eludiendo los controles de seguridad de Bitwarden.
Impacto y recomendaciones
A pesar de la notificación temprana al proveedor, Bitwarden no ha respondido a la divulgación, lo que deja a millones de usuarios potencialmente vulnerables a ataques remotos. La falta de comunicación genera inquietud sobre los procedimientos de respuesta a incidentes de Bitwarden.
Actualmente, Bitwarden no ha publicado parches ni contramedidas oficiales. Los expertos en seguridad recomiendan que las organizaciones que utilizan versiones afectadas consideren reemplazar Bitwarden con soluciones alternativas de gestión de contraseñas hasta que haya una solución disponible.
Los usuarios deben extremar la precaución al abrir archivos PDF adjuntos en sus bóvedas de Bitwarden y evitar hacer clic en archivos PDF desconocidos compartidos en la plataforma.
Respuesta de Bitwarden
Según la respuesta de Bitwarden a GBHackers News, «La versión 2.25.1 del almacén web se lanzó en enero de 2022. El exploit mencionado con los PDF en este informe ya no es un problema, ya que Bitwarden ahora obliga a descargar los PDF en lugar de mostrarlos en el navegador».
El descubrimiento de la vulnerabilidad pone de manifiesto preocupaciones de seguridad más amplias con respecto al manejo de archivos PDF en aplicaciones web. Se han identificado fallos de inyección similares en bibliotecas de PDF populares como PDF-Lib y jspdf.