出典: NVD、CNAスコア（GitHub, Inc.）。

組織のメンバーは、コレクション権限に関係なく、組織に属するすべての暗号（cipher）を取得できます。エンドポイント /ciphers/organization-details はすべての組織メンバーがアクセス可能であり、内部で Cipher::find_by_org を使用してすべての暗号を取得します。結果は CipherSyncType::Organization で返され、コレクションレベルのアクセス制御は適用されません。このリポジトリは、厳格に倫理的な目的（認可されたペネトレーションテスト、パッチ検証、セキュリティ研究）のために問題を再現するPoCを提供します。

使用方法

オプション

動作: このコマンドは組織の詳細をJSONにエクスポートします。-c を指定すると、スクリプトは organization-details と /api/collections のコレクションを比較し、ターミナルに以下を表示します:

• 各側のコレクション数;
• 組織内に存在するがユーザーがアクセスできないコレクション（認可の不一致）;
• アクセス可能だが返された暗号に含まれないコレクション。

目的: 組織APIが公開する内容とユーザーが参照すべき内容のギャップを迅速に確認すること。

参考情報

• https://github.com/dani-garcia/vaultwarden/security/advisories/GHSA-h265-g7rm-h337 - 公式Vaultwardenセキュリティアドバイザリ
• CVE-2026-26012 — NVD
• Vaultwarden — Bitwarden互換API。影響を受けるエンドポイント: organization-details、collections

ライセンス

このリポジトリの LICENSE ファイルを参照してください。