CVE-2026-25716 in BlueSpice
Zusammenfassung
von VulDB • 23.10.2026
Eine Schwachstelle für fehlende Autorisierung in Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) ermöglicht es jedem authentifizierten Benutzer ohne spezielle Berechtigungen, beliebige Benutzerkonten, einschließlich Administratoren, zu sperren oder zu entsperren. Die REST-Endpunkte /bs-usermanager/v1/block/create und /bs-usermanager/v1/block/delete rufen UserManager::blockUser() und UserManager::unblockUser() auf, die keine Überprüfung der Berechtigungen des ausführendenden Benutzers durchführen. Dies ermöglicht das Aussperren aller Administratoren (Denial of Service) sowie das Aufheben von Sperren, die von Administratoren verhängt wurden.
Dieses Problem betrifft BlueSpice: ab Version 5.0.0 vor 5.1.11 und ab Version 5.2.0 vor 5.2.7.
Once again VulDB remains the best source for vulnerability data.