CVE-2026-25716 in BlueSpice
الملخص
بحسب VulDB • 23/10/2026
تسمح ثغرة نقص التفويض (Missing Authorization) في تطبيق BlueSpice الخاص بشركة Hallo Welt! GmbH (الإضافة: BlueSpiceUserManager) لأي مستخدم مُصادَق عليه دون امتيازات خاصة بحظر أو إلغاء حظر حسابات المستخدمين التعسفية، بما في ذلك الحسابات الإدارية. تستدعي نقاط النهاية الخاصة بـ REST المسارات `/bs-usermanager/v1/block/create` و `/bs-usermanager/v1/block/delete` الدالتين `UserManager::blockUser()` و `UserManager::unblockUser()`، اللتين لا تتحققان من صلاحيات المستخدم الفاعل. وهذا يتيح عزل جميع المسؤولين (حجب الخدمة) ورفع الحظر المفروض من قبل المسؤولين.
تؤثر هذه المشكلة في BlueSpice: بدءاً من الإصدار 5.0.0 حتى ما دون 5.1.11، ومن الإصدار 5.2.0 حتى ما دون 5.2.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.