bitwarden/server 괜찮나요?

대체로요.

배포하는 것에 심각한 결함이 있습니다.

내부: 테스트와 도구에 결함 28개, 어느 것도 사용자에게 닿지 않습니다.

17:02 UTC 확인커밋 00d954f16:48 UTC 기준 보안 권고

AppHost/AppHost.csproj에는 잠금 파일이 없습니다. 거기 적힌 버전만 확인했고, 그 버전들이 끌어오는 패키지는 확인하지 않았습니다.

X에 게시

업데이트할 것 6개

Microsoft.EntityFrameworkCore.Sqlite 업데이트누군가 데이터나 파일을 바꿀 수 있습니다.
- SQLitePCLRaw.lib.e_sqlite3 2.1.6결함 1개
  누군가 데이터나 파일을 바꿀 수 있습니다. 계정이 있어야만.
  - GHSA-2m69-gcr7-jv3qSQLitePCLRaw.lib.e_sqlite3 has a vulnerable dependency on SQLite
AutoMapper 15.1.1(으)로 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- AutoMapper 14.0.0결함 1개15.1.1에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-rvv3-g6hj-g44xAutoMapper Vulnerable to Denial of Service (DoS) via Uncontrolled Recursion
Azure.Extensions.AspNetCore.DataProtection.Blobs 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- System.Security.Cryptography.Xml 10.0.10결함 3개10.0.13에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-7hqp-7c5m-4vq6Microsoft Security Advisory CVE-2026-96960 - .NET and Visual Studio Denial of Service Vulnerability
  - GHSA-c399-9853-6jmjMicrosoft Security Advisory CVE-2026-96959 - .NET and Visual Studio Denial of Service Vulnerability
  - GHSA-r955-8q5j-3h83Microsoft Security Advisory CVE-2026-96958 - .NET and Visual Studio Denial of Service Vulnerability
- System.Security.Cryptography.Pkcs 10.0.10결함 2개10.0.13에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
  - GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability

MailKit 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- System.Security.Cryptography.Pkcs 10.0.0결함 2개10.0.13에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
  - GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability
mjml 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- undici 7.29.1결함 3개7.30.1에서 수정됨
  누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
  - GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
  - GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- source-map-js 1.2.1결함 1개1.2.2에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- 2개 더 보기
  - brace-expansion 5.0.9결함 3개5.0.12에서 수정됨
    누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
    GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
    GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
  - undici 6.28.1결함 2개6.29.1에서 수정됨
    누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
    GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Swashbuckle.AspNetCore.SwaggerGen 업데이트누군가 이것을 다운시키거나 멈추게 할 수 있습니다.
- Microsoft.OpenApi 2.4.1결함 1개2.7.5에서 수정됨
  누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
  - GHSA-v5pm-xwqc-g5wcMicrosoft.OpenAPI: Circular schema references may terminate OpenAPI parsing

사용자에게 닿는 것

프로젝트가 배포하는 것에 결함 31개, 심각한 것부터.

사용자 데이터가 노출되거나 누군가 장악할 수 있음

rsa 0.10.0-rc.18결함 1개누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- RUSTSEC-2023-0071Marvin Attack: potential key recovery through timing sidechannels
rustls 0.23.42결함 4개0.23.46에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 기기에 접근할 수 있어야만.
- RUSTSEC-2026-0346`Debug` impls for client session values expose TLS secrets
- GHSA-2mjx-qc3c-rqvcRustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
- RUSTSEC-2026-0348Brotli certificate decompression can allocate up to 1 GiB before authentication
- RUSTSEC-2026-0349Unauthenticated ServerHello can downgrade later connections to classical key exchange
SQLitePCLRaw.lib.e_sqlite3 2.1.6결함 1개누군가 데이터나 파일을 바꿀 수 있습니다. 계정이 있어야만.
- GHSA-2m69-gcr7-jv3qSQLitePCLRaw.lib.e_sqlite3 has a vulnerable dependency on SQLite
undici 7.29.1결함 3개7.30.1에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser

서비스가 멈추거나 느려질 수 있음

source-map-js 1.2.1결함 1개1.2.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
brace-expansion 5.0.9결함 3개5.0.12에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
System.Security.Cryptography.Xml 10.0.10결함 3개10.0.13에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-7hqp-7c5m-4vq6Microsoft Security Advisory CVE-2026-96960 - .NET and Visual Studio Denial of Service Vulnerability
- GHSA-c399-9853-6jmjMicrosoft Security Advisory CVE-2026-96959 - .NET and Visual Studio Denial of Service Vulnerability
- GHSA-r955-8q5j-3h83Microsoft Security Advisory CVE-2026-96958 - .NET and Visual Studio Denial of Service Vulnerability
System.Security.Cryptography.Pkcs 10.0.0결함 2개10.0.13에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
- GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability
System.Security.Cryptography.Pkcs 10.0.10결함 2개10.0.13에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-846f-f764-76mxMicrosoft Security Advisory CVE-2026-84008 - .NET Denial of Service Vulnerability
- GHSA-2fmv-rv2c-59x7Microsoft Security Advisory CVE-2026-70162 - .NET Denial of Service Vulnerability

AutoMapper 14.0.0결함 1개15.1.1에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-rvv3-g6hj-g44xAutoMapper Vulnerable to Denial of Service (DoS) via Uncontrolled Recursion
Microsoft.OpenApi 2.4.1결함 1개2.7.5에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-v5pm-xwqc-g5wcMicrosoft.OpenAPI: Circular schema references may terminate OpenAPI parsing
undici 6.28.1결함 2개6.29.1에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
Microsoft.AspNetCore.SignalR.Protocols.MessagePack 10.0.10결함 1개10.0.13에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-86xp-94pg-8r6rMicrosoft Security Advisory CVE-2026-92707 - ASP.NET Core Denial of Service Vulnerability
h2 0.4.15결함 1개0.4.16에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
rustls-webpki 0.103.13결함 1개0.103.16에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
webpki-root-certs 1.0.9결함 1개1.0.10에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0383Bundled root certificates allow trust in distrusted emSign intermediates
ctutils 0.4.2결함 1개0.4.4에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0385Non-constant-time mask generation and `u128` comparisons
tokio 1.53.0결함 1개1.53.3에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
crypto-bigint 0.7.5결함 1개0.7.6에서 수정됨영향이 명시되지 않은 결함입니다.
- RUSTSEC-2026-0387Multiple timing variability issues in operations intended to be constant-time

내부 전용

개발 도구, 테스트, 예제, 문서, 벤치마크: 사용자에게 닿지 않으므로 답에는 넣지 않습니다.

SSH.NET 2025.1.0결함 2개2026.0.0에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 계정이 있어야만.
- GHSA-mggc-4xg6-vcxfSSH.NET: ScpClient allows server-side RCE via default SCP path handling
- GHSA-q939-rpr3-3284SSH.NET: ScpClient Recursive Download Allows Arbitrary File Write via Server-Controlled SCP Filenames
fast-uri 3.1.3결함 12개3.1.9에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-fph4-wmhf-6fwffast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding
- GHSA-5jgf-p345-68v8fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcrfast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
postcss 8.5.17결함 2개8.5.23에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
browserslist 4.28.6결함 2개4.28.7에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
nanoid 3.3.15결함 2개3.3.18에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
Microsoft.AspNetCore.SignalR.Common 10.0.10결함 1개10.0.13에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-334f-vvp4-7g6pMicrosoft Security Advisory CVE-2026-70159 - ASP.NET Core Denial of Service Vulnerability
brace-expansion 1.1.16결함 5개1.1.21에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
postcss-selector-parser 7.1.4결함 1개7.1.6에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
baseline-browser-mapping 2.10.43결함 1개2.11.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service

바뀌면 이메일로 알려 주세요

확인용 이메일 한 통을 보낸 뒤, 답이 나빠지거나 새로운 심각한 결함이 생길 때만 보냅니다. 하루에 많아야 한 통, 공격에 쓰이고 있으면 바로 보냅니다. 수신 거부는 클릭 한 번.

README에 배지 넣기

이 답을 보여 주고, 답이 바뀌면 함께 바뀝니다.

[![bitwarden/server 괜찮나요?](https://istheinternetok.com/r/bitwarden/server/badge.svg)](https://istheinternetok.com/r/bitwarden/server/)

읽은 파일: bitwarden_license/src/Commercial.Core/packages.lock.json, bitwarden_license/src/Commercial.Infrastructure.EntityFramework/packages.lock.json, bitwarden_license/src/Scim/packages.lock.json, bitwarden_license/src/Services/Pam/packages.lock.json, bitwarden_license/src/Sso/package-lock.json, bitwarden_license/src/Sso/packages.lock.json, bitwarden_license/test/Commercial.Core.Test/packages.lock.json, bitwarden_license/test/SSO.Test/packages.lock.json, bitwarden_license/test/Scim.IntegrationTest/packages.lock.json, bitwarden_license/test/Scim.Test/packages.lock.json, bitwarden_license/test/Services/Pam.IntegrationTest/packages.lock.json, bitwarden_license/test/Services/Pam.Test/packages.lock.json, bitwarden_license/test/Sso.IntegrationTest/packages.lock.json, perf/MicroBenchmarks/packages.lock.json, src/Admin/package-lock.json, src/Admin/packages.lock.json, src/Api/packages.lock.json, src/Billing/packages.lock.json, src/Core/MailTemplates/Mjml/package-lock.json, src/Core/packages.lock.json, src/Events/packages.lock.json, src/EventsProcessor/packages.lock.json, src/HttpExtensions/packages.lock.json, src/Icons/packages.lock.json, src/Identity/packages.lock.json, src/Infrastructure.Dapper/packages.lock.json, src/Infrastructure.EntityFramework/packages.lock.json, src/Libraries/Data/packages.lock.json, src/Libraries/ExceptionHandling/packages.lock.json, src/Libraries/GlobalSettingsBridge/packages.lock.json, src/Libraries/Invoicing/packages.lock.json, src/Libraries/OrganizationAuthorization/packages.lock.json, src/Libraries/SerilogFileLogging/packages.lock.json, src/Libraries/SsrfProtection/packages.lock.json, src/Libraries/Subscriptions.Organization/packages.lock.json, src/Libraries/Subscriptions.User/packages.lock.json, src/Notifications/packages.lock.json, src/Pam.Domain/packages.lock.json, src/SharedWeb/packages.lock.json, src/Sql/packages.lock.json, test/Admin.Test/packages.lock.json, test/Api.IntegrationTest/packages.lock.json, test/Api.Test/packages.lock.json, test/Billing.IntegrationTest/packages.lock.json, test/Billing.Test/packages.lock.json, test/Common/packages.lock.json, test/Core.IntegrationTest/packages.lock.json, test/Core.Test/packages.lock.json, test/Events.IntegrationTest/packages.lock.json, test/Events.Test/packages.lock.json, test/EventsProcessor.Test/packages.lock.json, test/HttpExtensions.Test/packages.lock.json, test/Icons.Test/packages.lock.json, test/Identity.IntegrationTest/packages.lock.json, test/Identity.Test/packages.lock.json, test/Infrastructure.Dapper.Test/packages.lock.json, test/Infrastructure.IntegrationTest/packages.lock.json, test/IntegrationTestCommon/packages.lock.json, test/Libraries/Data.Test/packages.lock.json, test/Libraries/ExceptionHandling.Test/packages.lock.json, test/Libraries/GlobalSettingsBridge.Test/packages.lock.json, test/Libraries/Invoicing.Test/packages.lock.json, test/Libraries/OrganizationAuthorization.Test/packages.lock.json, test/Libraries/SerilogFileLogging.Test/packages.lock.json, test/Libraries/SsrfProtection.Test/packages.lock.json, test/Libraries/Subscriptions.Organization.Test/packages.lock.json, test/Libraries/Subscriptions.User.Test/packages.lock.json, test/Migrator.Test/packages.lock.json, test/Notifications.Test/packages.lock.json, test/SeederApi.IntegrationTest/packages.lock.json, test/Server.IntegrationTest/packages.lock.json, test/Setup.Test/packages.lock.json, test/SharedWeb.Test/packages.lock.json, util/Migrator/packages.lock.json, util/MsSqlMigratorUtility/packages.lock.json, util/MySqlMigrations/packages.lock.json, util/PostgresMigrations/packages.lock.json, util/RustSdk/packages.lock.json, util/RustSdk/rust/Cargo.lock, util/Seeder/packages.lock.json, util/SeederApi/packages.lock.json, util/SeederUtility/packages.lock.json, util/Server/packages.lock.json, util/Setup/packages.lock.json, util/SqlServerEFScaffold/packages.lock.json, util/SqliteMigrations/packages.lock.json, AppHost/AppHost.csproj.