CVE-2026-25716

WysokieCVSS 7.1

Opublikowano: 23/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Streszczenie

W rozszerzeniu BlueSpiceUserManager systemu BlueSpice brakuje kontroli uprawnień w endpointach REST /bs-usermanager/v1/block/create i /bs-usermanager/v1/block/delete. Każdy uwierzytelniony użytkownik bez specjalnych uprawnień może blokować lub odblokowywać dowolne konta, w tym administratorów.

Ocena ryzyka

Atakujący może zablokować wszystkie konta administratorów, powodując odmowę usługi, lub zdejmować blokady nałożone przez administratorów. Podważa to kontrolę dostępu i bezpieczeństwo zarządzania kontami w całej instalacji BlueSpice.

Rekomendacja

Zaktualizuj BlueSpice do wersji 5.1.11 lub 5.2.7 (lub nowszej). Do czasu aktualizacji ogranicz dostęp do endpointów /bs-usermanager/v1/block/* na poziomie serwera WWW lub WAF.

Inne podatności w BlueSpice

CVE-2026-25784Krytyczne
W obrazie kontenera BlueSpice (bluespice/wiki) domyślna wartość $mwsgTokenAuthenticatorServiceCIDR w LocalSettings.php miała ograniczać uwierzytelnianie usług wewnętrznych do sieci kontenera, ale przy braku zmiennej środowiskowej WIKI_SERVICE_TOKEN_AUTH_ALLOWED przyjmowała pusty ciąg. Pusta wartość wyłącza ograniczenie IP w komponencie token authenticator, umożliwiając każdemu użytkownikowi z dostępem do odczytu wiki uzyskanie tokenu z REST API i sesji z uprawnieniami sysop jako wewnętrzny użytkownik usługi.

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) allows any authenticated user without special privileges to block or unblock arbitrary user accounts, including administrators. The REST endpoints /bs-usermanager/v1/block/create and /bs-usermanager/v1/block/delete call UserManager::blockUser() and UserManager::unblockUser(), which do not verify the permissions of the acting user. This allows locking out all administrators (denial of service) and lifting blocks imposed by administrators. This issue affects BlueSpice: from 5.0.0 before 5.1.11, from 5.2.0 before 5.2.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS