¿Está bien bitwarden/server?

Casi.

Un fallo grave en lo que distribuye.

Interno: 28 fallos en pruebas y herramientas, ninguno llega a tus usuarios.

Comprobado 17:03 UTCcommit 00d954favisos actualizados: 16:48 UTC

Sin lockfile para AppHost/AppHost.csproj: solo se comprobaron las versiones escritas ahí, no los paquetes que traen.

Publicar en X

6 cosas que actualizar

Actualiza Microsoft.EntityFrameworkCore.SqliteAlguien podría cambiar datos o archivos.
- SQLitePCLRaw.lib.e_sqlite3 2.1.61 fallo
  Alguien podría cambiar datos o archivos. Solo con una cuenta.
  - GHSA-2m69-gcr7-jv3qSQLitePCLRaw.lib.e_sqlite3 has a vulnerable dependency on SQLite
Actualiza AutoMapper a 15.1.1Alguien podría hacer que falle o se quede colgado.
- AutoMapper 14.0.01 fallocorregido en 15.1.1
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-rvv3-g6hj-g44xAutoMapper Vulnerable to Denial of Service (DoS) via Uncontrolled Recursion
Actualiza Azure.Extensions.AspNetCore.DataProtection.BlobsAlguien podría hacer que falle o se quede colgado.
- System.Security.Cryptography.Xml 10.0.103 falloscorregido en 10.0.13
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-7hqp-7c5m-4vq6Microsoft Security Advisory CVE-2026-96960 - .NET and Visual Studio Denial of Service Vulnerability
  - GHSA-c399-9853-6jmjMicrosoft Security Advisory CVE-2026-96959 - .NET and Visual Studio Denial of Service Vulnerability
  - GHSA-r955-8q5j-3h83Microsoft Security Advisory CVE-2026-96958 - .NET and Visual Studio Denial of Service Vulnerability
- System.Security.Cryptography.Pkcs 10.0.102 falloscorregido en 10.0.13
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
  - GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability

Actualiza MailKitAlguien podría hacer que falle o se quede colgado.
- System.Security.Cryptography.Pkcs 10.0.02 falloscorregido en 10.0.13
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
  - GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability
Actualiza mjmlAlguien podría hacer que falle o se quede colgado.
- undici 7.29.13 falloscorregido en 7.30.1
  Alguien podría cambiar datos o archivos. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- source-map-js 1.2.11 fallocorregido en 1.2.2
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- Ver 2 más
  - brace-expansion 5.0.93 falloscorregido en 5.0.12
    Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
    GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
    GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
    GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
  - undici 6.28.12 falloscorregido en 6.29.1
    Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
    GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
    GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Actualiza Swashbuckle.AspNetCore.SwaggerGenAlguien podría hacer que falle o se quede colgado.
- Microsoft.OpenApi 2.4.11 fallocorregido en 2.7.5
  Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
  - GHSA-v5pm-xwqc-g5wcMicrosoft.OpenAPI: Circular schema references may terminate OpenAPI parsing

Afecta a tus usuarios

31 fallos en lo que distribuye el proyecto, los más graves primero.

Puede exponer los datos de tus usuarios o dejar que alguien tome el control

rsa 0.10.0-rc.181 falloAlguien podría leer datos que no debería ver. Desde cualquier lugar de internet, sin cuenta.
- RUSTSEC-2023-0071Marvin Attack: potential key recovery through timing sidechannels
rustls 0.23.424 falloscorregido en 0.23.46Alguien podría leer datos que no debería ver. Solo con acceso a la máquina.
- RUSTSEC-2026-0346`Debug` impls for client session values expose TLS secrets
- GHSA-2mjx-qc3c-rqvcRustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
- RUSTSEC-2026-0348Brotli certificate decompression can allocate up to 1 GiB before authentication
- RUSTSEC-2026-0349Unauthenticated ServerHello can downgrade later connections to classical key exchange
SQLitePCLRaw.lib.e_sqlite3 2.1.61 falloAlguien podría cambiar datos o archivos. Solo con una cuenta.
- GHSA-2m69-gcr7-jv3qSQLitePCLRaw.lib.e_sqlite3 has a vulnerable dependency on SQLite
undici 7.29.13 falloscorregido en 7.30.1Alguien podría cambiar datos o archivos. Desde cualquier lugar de internet, sin cuenta.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser

Puede romper o ralentizar tu servicio

source-map-js 1.2.11 fallocorregido en 1.2.2Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
brace-expansion 5.0.93 falloscorregido en 5.0.12Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
System.Security.Cryptography.Xml 10.0.103 falloscorregido en 10.0.13Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-7hqp-7c5m-4vq6Microsoft Security Advisory CVE-2026-96960 - .NET and Visual Studio Denial of Service Vulnerability
- GHSA-c399-9853-6jmjMicrosoft Security Advisory CVE-2026-96959 - .NET and Visual Studio Denial of Service Vulnerability
- GHSA-r955-8q5j-3h83Microsoft Security Advisory CVE-2026-96958 - .NET and Visual Studio Denial of Service Vulnerability
System.Security.Cryptography.Pkcs 10.0.02 falloscorregido en 10.0.13Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
- GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability
System.Security.Cryptography.Pkcs 10.0.102 falloscorregido en 10.0.13Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
- GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability

AutoMapper 14.0.01 fallocorregido en 15.1.1Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-rvv3-g6hj-g44xAutoMapper Vulnerable to Denial of Service (DoS) via Uncontrolled Recursion
Microsoft.OpenApi 2.4.11 fallocorregido en 2.7.5Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-v5pm-xwqc-g5wcMicrosoft.OpenAPI: Circular schema references may terminate OpenAPI parsing
undici 6.28.12 falloscorregido en 6.29.1Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Microsoft.AspNetCore.SignalR.Protocols.MessagePack 10.0.101 fallocorregido en 10.0.13Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-86xp-94pg-8r6rMicrosoft Security Advisory CVE-2026-92707 - ASP.NET Core Denial of Service Vulnerability
h2 0.4.151 fallocorregido en 0.4.16Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
rustls-webpki 0.103.131 fallocorregido en 0.103.16Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
webpki-root-certs 1.0.91 fallocorregido en 1.0.10Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0383Bundled root certificates allow trust in distrusted emSign intermediates
ctutils 0.4.21 fallocorregido en 0.4.4Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0385Non-constant-time mask generation and `u128` comparisons
tokio 1.53.01 fallocorregido en 1.53.3Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
crypto-bigint 0.7.51 fallocorregido en 0.7.6Un fallo cuyo efecto no se detalla.
- RUSTSEC-2026-0387Multiple timing variability issues in operations intended to be constant-time

Solo interno

Herramientas de desarrollo, pruebas, ejemplos, documentación y benchmarks: no llegan a tus usuarios, así que nunca cuentan en la respuesta.

SSH.NET 2025.1.02 falloscorregido en 2026.0.0Alguien podría ejecutar su propio código allí donde corre. Solo con una cuenta.
- GHSA-mggc-4xg6-vcxfSSH.NET: ScpClient allows server-side RCE via default SCP path handling
- GHSA-q939-rpr3-3284SSH.NET: ScpClient Recursive Download Allows Arbitrary File Write via Server-Controlled SCP Filenames
fast-uri 3.1.312 falloscorregido en 3.1.9Alguien podría leer datos que no debería ver. Desde cualquier lugar de internet, sin cuenta.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
postcss 8.5.172 falloscorregido en 8.5.23Alguien podría leer datos que no debería ver. Desde cualquier lugar de internet, sin cuenta.
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
browserslist 4.28.62 falloscorregido en 4.28.7Alguien podría cambiar datos o archivos. Desde cualquier lugar de internet, sin cuenta.
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
nanoid 3.3.152 falloscorregido en 3.3.18Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
Microsoft.AspNetCore.SignalR.Common 10.0.101 fallocorregido en 10.0.13Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-334f-vvp4-7g6pMicrosoft Security Advisory CVE-2026-70159 - ASP.NET Core Denial of Service Vulnerability
brace-expansion 1.1.165 falloscorregido en 1.1.21Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
postcss-selector-parser 7.1.41 fallocorregido en 7.1.6Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
baseline-browser-mapping 2.10.431 fallocorregido en 2.11.0Alguien podría hacer que falle o se quede colgado. Desde cualquier lugar de internet, sin cuenta.
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service

Avísame por email cuando cambie

Un email para confirmar, y luego uno solo cuando la respuesta empeore o aparezca un fallo grave nuevo: como mucho uno al día, al momento si los atacantes lo usan. Un clic para darte de baja.

Pon la insignia en tu README

Muestra esta respuesta y cambia con ella.

[![¿Está bien bitwarden/server?](https://istheinternetok.com/r/bitwarden/server/badge.svg)](https://istheinternetok.com/r/bitwarden/server/)

Leído de bitwarden_license/src/Commercial.Core/packages.lock.json, bitwarden_license/src/Commercial.Infrastructure.EntityFramework/packages.lock.json, bitwarden_license/src/Scim/packages.lock.json, bitwarden_license/src/Services/Pam/packages.lock.json, bitwarden_license/src/Sso/package-lock.json, bitwarden_license/src/Sso/packages.lock.json, bitwarden_license/test/Commercial.Core.Test/packages.lock.json, bitwarden_license/test/SSO.Test/packages.lock.json, bitwarden_license/test/Scim.IntegrationTest/packages.lock.json, bitwarden_license/test/Scim.Test/packages.lock.json, bitwarden_license/test/Services/Pam.IntegrationTest/packages.lock.json, bitwarden_license/test/Services/Pam.Test/packages.lock.json, bitwarden_license/test/Sso.IntegrationTest/packages.lock.json, perf/MicroBenchmarks/packages.lock.json, src/Admin/package-lock.json, src/Admin/packages.lock.json, src/Api/packages.lock.json, src/Billing/packages.lock.json, src/Core/MailTemplates/Mjml/package-lock.json, src/Core/packages.lock.json, src/Events/packages.lock.json, src/EventsProcessor/packages.lock.json, src/HttpExtensions/packages.lock.json, src/Icons/packages.lock.json, src/Identity/packages.lock.json, src/Infrastructure.Dapper/packages.lock.json, src/Infrastructure.EntityFramework/packages.lock.json, src/Libraries/Data/packages.lock.json, src/Libraries/ExceptionHandling/packages.lock.json, src/Libraries/GlobalSettingsBridge/packages.lock.json, src/Libraries/Invoicing/packages.lock.json, src/Libraries/OrganizationAuthorization/packages.lock.json, src/Libraries/SerilogFileLogging/packages.lock.json, src/Libraries/SsrfProtection/packages.lock.json, src/Libraries/Subscriptions.Organization/packages.lock.json, src/Libraries/Subscriptions.User/packages.lock.json, src/Notifications/packages.lock.json, src/Pam.Domain/packages.lock.json, src/SharedWeb/packages.lock.json, src/Sql/packages.lock.json, test/Admin.Test/packages.lock.json, test/Api.IntegrationTest/packages.lock.json, test/Api.Test/packages.lock.json, test/Billing.IntegrationTest/packages.lock.json, test/Billing.Test/packages.lock.json, test/Common/packages.lock.json, test/Core.IntegrationTest/packages.lock.json, test/Core.Test/packages.lock.json, test/Events.IntegrationTest/packages.lock.json, test/Events.Test/packages.lock.json, test/EventsProcessor.Test/packages.lock.json, test/HttpExtensions.Test/packages.lock.json, test/Icons.Test/packages.lock.json, test/Identity.IntegrationTest/packages.lock.json, test/Identity.Test/packages.lock.json, test/Infrastructure.Dapper.Test/packages.lock.json, test/Infrastructure.IntegrationTest/packages.lock.json, test/IntegrationTestCommon/packages.lock.json, test/Libraries/Data.Test/packages.lock.json, test/Libraries/ExceptionHandling.Test/packages.lock.json, test/Libraries/GlobalSettingsBridge.Test/packages.lock.json, test/Libraries/Invoicing.Test/packages.lock.json, test/Libraries/OrganizationAuthorization.Test/packages.lock.json, test/Libraries/SerilogFileLogging.Test/packages.lock.json, test/Libraries/SsrfProtection.Test/packages.lock.json, test/Libraries/Subscriptions.Organization.Test/packages.lock.json, test/Libraries/Subscriptions.User.Test/packages.lock.json, test/Migrator.Test/packages.lock.json, test/Notifications.Test/packages.lock.json, test/SeederApi.IntegrationTest/packages.lock.json, test/Server.IntegrationTest/packages.lock.json, test/Setup.Test/packages.lock.json, test/SharedWeb.Test/packages.lock.json, util/Migrator/packages.lock.json, util/MsSqlMigratorUtility/packages.lock.json, util/MySqlMigrations/packages.lock.json, util/PostgresMigrations/packages.lock.json, util/RustSdk/packages.lock.json, util/RustSdk/rust/Cargo.lock, util/Seeder/packages.lock.json, util/SeederApi/packages.lock.json, util/SeederUtility/packages.lock.json, util/Server/packages.lock.json, util/Setup/packages.lock.json, util/SqlServerEFScaffold/packages.lock.json, util/SqliteMigrations/packages.lock.json, AppHost/AppHost.csproj.