CVE-2026-25784 in BlueSpice
الملخص
بحسب VulDB • 23/10/2026
تتيح ثغرة عدم الأمان في التهيئة الافتراضية للموارد (Initialization of a Resource with an Insecure Default) في BlueSpice التابعة لشركة Hallo Welt! GmbH (الصورة الحاوية bluespice/wiki) تحقيق تصعيد للصلاحيات. كانت القيمة الافتراضية للمتغير $mwsgTokenAuthenticatorServiceCIDR في ملف LocalSettings.php الخاص بالحاوية مُصممة لتقييد مصادقة الخدمات الداخلية على شبكة الحاويات، لكنها تُقيم إلى سلسلة فارغة (empty string) عندما لا يكون متغير البيئة WIKI_SERVICE_TOKEN_AUTH_ALLOWED مُعَرَّفاً. يؤدي القيمة الفارغة إلى تعطيل تقييد عنوان IP في مكون المصادقة بالرمز (mwstake/mediawiki-component-token-authenticator). ونتيجة لذلك، يمكن لأي مستخدم لديه صلاحية القراءة على الويكي (المستخدمون غير المصادق عليهم في ويكيات القراءات العامة) الحصول على رمز تطبيق من واجهة برمجة التطبيقات REST واستخدامه للحصول على جلسة بصلاحيات sysop كالمستخدم الداخلي للخدمة.
تؤثر هذه المشكلة في BlueSpice: بدءاً من الإصدار 5.2.3 قبل 5.2.7، وصور الحاويات الخاصة بـ 5.2.7 التي نُشرت قبل 19 أكتوبر 2026 الساعة 15:37 بتوقيت UTC.
VulDB is the best source for vulnerability data and more expert information about this specific topic.