Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-269
  • CWE-1188

CVE-2026-25784

BlueSpice wiki konteyneri: Hizmet belirteci kimlik doğrulamasında güvensiz varsayılan yapılandırma nedeniyle yetki yükseltme

Hallo Welt! GmbH BlueSpice

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
HW

Yönetici özeti

Bu açık, wiki sistemini kullanan herkesin yönetici yetkisi kazanmasına olanak tanıyabilir ve kurumsal bilgilerin ele geçirilmesi veya değiştirilmesi riskini doğurur. Kritik seviyede bir risk olduğundan etkilenen sistemlerin hemen güncellenmesi gerekir.

ÖzetTürkçe

BlueSpice wiki konteyner imajında (bluespice/wiki), iç servis kimlik doğrulama mekanizmasının IP kısıtlaması varsayılan olarak boş bir değere ayarlanmış durumda. Bu nedenle IP kısıtlaması devre dışı kalıyor. 5.2.3 ile 5.2.7 öncesi sürümler ve 5.2.7 konteyner imajlarının belirli bir tarihten önce çekilmiş sürümleri etkileniyor. Wiki'yi okuma yetkisi olan herhangi bir kullanıcı, anonim kullanıcılar dahil, bu durumdan yararlanabilir.

Saldırgan ne yapabilir?

Saldırgan, uygulama belirteci üreterek iç servis kullanıcısı olarak sysop (yönetici) yetkisiyle oturum açabilir ve wiki üzerinde tam yönetici yetkilerini ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

Initialization of a Resource with an Insecure Default vulnerability in Hallo Welt! GmbH BlueSpice (container image bluespice/wiki) allows privilege escalation. The default value of $mwsgTokenAuthenticatorServiceCIDR in the container's LocalSettings.php was intended to restrict internal service authentication to the container network, but evaluated to an empty string when the environment variable WIKI_SERVICE_TOKEN_AUTH_ALLOWED was not set. An empty value disables the IP restriction in the token authenticator component (mwstake/mediawiki-component-token-authenticator). As a result, any user with read access to the wiki (anonymous users on publicly readable wikis) could obtain an application token from the REST API and use it to get a session with sysop privileges as the internal service user.

This issue affects BlueSpice: from 5.2.3 before 5.2.7, and the 5.2.7 container images published before 2026-10-19 15:37 UTC.

Üreticinin çözüm notu (İngilizce)

Update to BlueSpice 5.2.7 or later. Container images of 5.2.7 that were pulled before 2026-10-19 15:37 UTC must be pulled again and the containers re-created.

Üreticinin geçici önlemi (İngilizce)

Set the environment variable WIKI_SERVICE_TOKEN_AUTH_ALLOWED of the wiki containers to the CIDR of the internal container network, or deny access to the REST path /rest.php/mws/v1/app-token/generate on the reverse proxy.

Ne yapmalı?

  1. BlueSpice'ı 5.2.7 veya daha yeni bir sürüme güncelleyin. Üretici
  2. 5.2.7 konteyner imajları 2026-10-19 15:37 UTC saatinden önce çekildiyse, imajları yeniden çekin ve konteynerleri yeniden oluşturun. Üretici
  3. Güncelleme yapamıyorsanız, wiki konteynerlerinin ortam değişkeni olarak iç konteyner ağının CIDR değerini tanımlayın. Üretici
  4. Güncelleme ve yapılandırma değişikliğine kadar, ters vekil sunucuda uygulama belirteci üretim yoluna erişimi engelleyin. Üretici

Ek önlemler

  • Wiki'ye yapılan uygulama belirteci üretim isteklerini ve olağandışı yönetici oturumlarını günlüklerden izleyin. Genel öneri
  • Wiki'yi internete açık olarak yayınlıyorsanız, erişimi mümkün olduğunca kısıtlayın ve dış erişimi yalnızca gerekli yollarla sınırlandırın. Genel öneri
  • Güncelleme sonrasında yönetici hesaplarının ve yetki atamalarının beklenmedik değişiklik içerip içermediğini kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Hallo Welt! GmbH BlueSpice ≥ 5.2.3, < 5.2.7 5.2.7

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.