Vaultwarden ha lanzado la actualización 1.37.5 que incluye correcciones de seguridad para dos avisos importantes relacionados con el funcionamiento del web vault y el acceso de emergencia. Los parches están marcados como de gravedad media en los avisos internos y, por ahora, permanecen privados hasta la asignación de CVE y su publicación pública.
Qué cambia y por qué hay que actualizar
La versión 1.37.5 corrige problemas vinculados a:
- Iconos del sitio (sitio web icons), señalados en un aviso interno con gravedad media.
- Acceso de emergencia (emergency access), también informado como de gravedad media.
Los mantenedores de Vaultwarden recomiendan actualizar lo antes posible. Además, esta versión es necesaria para que determinadas versiones del web vault funcionen correctamente con dos funciones concretas: permitir o desactivar métodos de inicio de sesión en dos pasos y tomar el control de una cuenta mediante el acceso de emergencia.
En concreto, la nota del proyecto indica que esta actualización es obligatoria si se utiliza el web vault en sus ramas publicadas a partir de v2026.7.1 para cambiar métodos de autenticación de dos pasos, y para las web vault a partir de v2026.9.0 si se pretende usar la función de takeover mediante el acceso de emergencia. En otros términos: si tu despliegue sirve una versión del web vault igual o posterior a esas referencias, debes aplicar la actualización de Vaultwarden antes de probar o confiar en esas funciones.
Posibles problemas de compatibilidad y cambios en la configuración
Además de los parches de seguridad, 1.37.5 incorpora cambios que pueden romper la compatibilidad si sirves una copia propia del web vault antigua. El paquete incluido en esta actualización trae el web vault v2026.10.1; quienes mantengan una versión propia del web vault anterior a v2026.7.1 podrían experimentar incompatibilidades con las nuevas funciones o correcciones.
También hay cambios en la validación de la configuración al arrancar el servicio. Ahora valores inválidos detienen el inicio con un error en lugar de ser aceptados silenciosamente. Entre las comprobaciones más relevantes:
- Opciones numéricas con tipos más estrictos: se rechazan valores negativos o excesivamente grandes en parámetros como LOGIN_RATELIMIT_MAX_BURST, TRASH_AUTO_DELETE_DAYS, EVENTS_DAYS_RETAIN o SMTP_TIMEOUT.
- Límites superiores claros: por ejemplo, valores mayores de 65535 serán rechazados en ciertos campos; para EMAIL_ATTEMPTS_LIMIT hay un tope inferior, y algunos campos deben estar al menos en 1.
- Restricciones entre campos relacionados: DATABASE_MIN_CONNS no puede ser mayor que DATABASE_MAX_CONNS.
- Campos que aceptan expresiones cron (DUO_CONTEXT_PURGE_SCHEDULE y PURGE_INCOMPLETE_SSO_AUTH) deben quedar vacíos o contener una expresión cron válida.
Estas validaciones evitan arrancar el servicio con parámetros que provoquen comportamientos inesperados o errores en tiempo de ejecución, lo que mejora la robustez pero requiere revisar la configuración antes de actualizar.
Qué debe hacer el administrador
- Planificar la actualización a Vaultwarden 1.37.5 cuanto antes, especialmente si usas web vault v2026.7.1+ o v2026.9.0+ y dependes de la gestión de métodos de dos factores o del acceso de emergencia.
- Si sirves tu propio web vault, comprobar la versión: las copias anteriores a v2026.7.1 pueden ser incompatibles con los cambios introducidos.
- Revisar los parámetros de configuración antes de reiniciar el servicio tras la actualización: corrige valores fuera de rango, tipos numéricos inválidos o expresiones cron mal formadas para evitar fallos de arranque.
- Seguir las indicaciones del proyecto sobre divulgación: los detalles técnicos de las vulnerabilidades permanecen privados hasta la asignación de CVE.
Otras correcciones menores
La actualización incluye también mejoras en la gestión de conexiones WebSocket para cerrar conexiones que dejan de responder y valida las programaciones de purga de Duo/SSO en el arranque. Hay además correcciones menores de documentación.
Lee también:
- Haruna 1.9 mejora el manejo de YouTube y la gestión de listas de reproducción
- OpenShot 4.1 llega con optimización automática, automatización por CLI y builds ARM64 para Linux
Fuente: Release notes from vaultwarden
