Vaultwarden 1.37.5: безопасность и новые проверки конфигурации

Релиз опубликован 1 ноября 2026 года в 22:16 UTC — 2 ноября в 01:16 по Москве. Разработчики сообщают о двух исправлениях безопасности: в обработке значков сайтов и в экстренном доступе. В примечаниях обе проблемы обозначены как Medium с оценками 5,3 и 4,3 соответственно. Проект настоятельно рекомендует обновиться как можно скорее. Это рекомендация разработчиков, а не результат испытаний Удельты.

Подробные advisory на момент проверки недоступны; в release notes указано, что они остаются закрытыми до присвоения CVE и последующей публикации. Поэтому условия эксплуатации и диапазоны затронутых версий здесь не приводятся. Объявленные исправления не дают оснований утверждать, что уязвимости уже использовались в атаках или одинаково затрагивали все установки.

Версия 1.37.5 нужна для включения и отключения методов двухэтапного входа в web vault 2026.7.1 и новее, а также для получения контроля над аккаунтом через экстренный доступ в web vault 2026.9.0 и новее. В комплект включено веб-хранилище 2026.10.1. Для отдельно развёрнутого web vault старше 2026.7.1 разработчики предупреждают о возможных проблемах совместимости: сервер и веб-интерфейс нельзя считать взаимозаменяемыми независимо от версии.

Некорректные значения конфигурации теперь останавливают запуск с ошибкой. Числовые параметры получили более строгие типы: например, для LOGIN_RATELIMIT_MAX_BURST, TRASH_AUTO_DELETE_DAYS, EVENTS_DAYS_RETAIN и SMTP_TIMEOUT отклоняются значения выше 65535, а для EMAIL_ATTEMPTS_LIMIT — выше 255. Отрицательные значения для таких параметров также недопустимы. Это важное изменение поведения при обновлении существующего сервера с нестандартными настройками.

Параметры ограничения частоты запросов с окончаниями *_SECONDS и *_MAX_BURST, а также DATABASE_TIMEOUT и DATABASE_IDLE_TIMEOUT должны быть не меньше 1. Значение DATABASE_MIN_CONNS не может превышать DATABASE_MAX_CONNS. Расписания DUO_CONTEXT_PURGE_SCHEDULE и PURGE_INCOMPLETE_SSO_AUTH допускают пустую строку либо корректное cron-выражение. Таким образом, неверные значения этих настроек выявляются уже при старте, а не остаются незамеченными до выполнения соответствующей операции.

Среди дополнительных исправлений в журнале релиза отмечены двухфакторный вход по электронной почте при SSO на iOS и Android, обновление групп при изменении импортируемых данных и закрытие WebSocket-соединений, переставших отвечать. Основные условия обновления описаны в примечаниях к выпуску; отдельная эксплуатационная проверка Удельтой не проводилась.