Una investigación reveló una vulnerabilidad de cross-site scripting (XSS) en la plataforma Bitwarden. La vulnerabilidad afecta versiones anteriores o iguales a v2.25.1. El error se identificó como CVE-2025-5138.
Detalles técnicos de la vulnerabilidad
El problema está en el PDF File Handler utilizado por la función Resources de Bitwarden. El backend acepta cualquier tipo de archivo y ejecuta JavaScript embebido dentro del contexto de la aplicación.
Condiciones para aprovechar la brecha
Para aprovechar la brecha, el atacante debe tener una cuenta (aunque sea de bajo privilegio) y la víctima debe visualizar el documento. La puntuación CVSS 3.1 provisional es 3,5 (PR:L, UI:R, I:L).
Proof-of-concept publicado por investigador
El investigador YZS17 publicó un proof-of-concept en GitHub. El ataque consiste en crear un proyecto dentro de Bitwarden, subir el PDF malicioso y esperar a que otro usuario lo abra en Chrome o un visor compatible; el código se dispara automáticamente.
Riesgos asociados
Los riesgos incluyen secuestro de sesión, robo de credenciales e instrucciones arbitrarias dentro de la bóveda.
Mitigaciones recomendadas
- Avoidar abrir PDFs dentro de la plataforma
- Aplicar políticas estrictas de subida de ficheros
- Deshabilitar temporalmente la característica de adjuntos
- Evaluar gestores alternativos para entornos corporativos hasta que exista una actualización