- Yama var
- Son 7 gün
- CWE-862
CVE-2026-25716
BlueSpice UserManager'da kullanıcı engelleme ve engelini kaldırma REST uç noktalarında yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- HW
ÖzetTürkçe
Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) içinde bulunan yetkilendirme eksikliği (Missing Authorization) zafiyeti, özel yetkisi olmayan kimliği doğrulanmış herhangi bir kullanıcının, yöneticiler dahil keyfi kullanıcı hesaplarını engelleyebilmesine veya bu engelleri kaldırabilmesine olanak tanımaktadır. /bs-usermanager/v1/block/create ve /bs-usermanager/v1/block/delete REST uç noktaları, işlemi gerçekleştiren kullanıcının yetkilerini doğrulamadan UserManager::blockUser ve UserManager::unblockUser metotlarını çağırmaktadır. Bu durum, tüm yöneticilerin sistemden kilitlenmesine (hizmet dışı bırakma) ve yöneticiler tarafından uygulanmış engellerin kaldırılmasına yol açabilmektedir.
Bu sorun BlueSpice sürümlerinin 5.0.0'dan 5.1.11 öncesine kadar olan ve 5.2.0'dan 5.2.7 öncesine kadar olan sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
Missing Authorization vulnerability in Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) allows any authenticated user without special privileges to block or unblock arbitrary user accounts, including administrators. The REST endpoints /bs-usermanager/v1/block/create and /bs-usermanager/v1/block/delete call UserManager::blockUser() and UserManager::unblockUser(), which do not verify the permissions of the acting user. This allows locking out all administrators (denial of service) and lifting blocks imposed by administrators.
This issue affects BlueSpice: from 5.0.0 before 5.1.11, from 5.2.0 before 5.2.7.
Üreticinin çözüm notu (İngilizce)
Update to BlueSpice 5.1.11 or 5.2.7 or later.
Üreticinin geçici önlemi (İngilizce)
Deny access to the REST paths /rest.php/bs-usermanager/v1/block/create and /rest.php/bs-usermanager/v1/block/delete on the web server or reverse proxy. Note that this also disables enabling/disabling users from Special:UserManager.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Hallo Welt! GmbH BlueSpice | ≥ 5.0.0, < 5.1.11 | 5.1.11 |
| ≥ 5.2.0, < 5.2.7 | 5.2.7 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.