BlueSpiceUserManager: отсутствие авторизации в REST-эндпоинтах блокировки пользователей (CVE-2026-25716)
В расширении BlueSpiceUserManager для BlueSpice обнаружена уязвимость отсутствия авторизации (CVSS 7.1, HIGH). Любой аутентифицированный пользователь без особых привилегий может блокировать и разблокировать произвольные учётные записи, включая администраторов. Проблема затрагивает ветки BlueSpice 5.0.0–5.1.10 и 5.2.0–5.2.6.
Подробности
Уязвимость затрагивает BlueSpice версий от 5.0.0 до 5.1.11 (то есть все выпуски ниже 5.1.11) и от 5.2.0 до 5.2.7 (все выпуски ниже 5.2.7). Причина — отсутствие авторизации в REST-эндпоинтах расширения BlueSpiceUserManager:/bs-usermanager/v1/block/create и /bs-usermanager/v1/block/delete. Эти обработчики вызывают методы UserManager::blockUser() и UserManager::unblockUser(), которые не проверяют права действующего пользователя.
В результате любой пользователь, прошедший аутентификацию, но не обладающий специальными привилегиями, может блокировать или разблокировать произвольные учётные записи, в том числе администраторов. Это создаёт риск отказа в обслуживании (блокировка всех администраторов и потеря управления платформой), а также позволяет снимать блокировки, наложенные администраторами, например на скомпрометированные или нарушившие правила учётные записи. Оценка CVSS — 7.1, что соответствует высокому уровню критичности.
Что делать
Рекомендуется обновить BlueSpice до версий 5.1.11 или 5.2.7 и выше — в них проблема устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть компенсирующие меры: ограничить доступ к путям/bs-usermanager/v1/block/create и /bs-usermanager/v1/block/delete на уровне веб-сервера или reverse-proxy, разрешив их только доверенным административным учётным записям, а также усилить мониторинг событий блокировки и разблокировки пользователей. Дополнительно стоит проверить журналы на предмет подозрительных операций с блокировками за период, пока система оставалась уязвимой, и ограничить число пользователей, имеющих доступ к вики, до необходимого минимума.
Итог: CVE-2026-25716 — серьёзная уязвимость, позволяющая обойти разграничение прав в административном функционале BlueSpice и заблокировать работу платформы. Она не требует особых привилегий, поэтому приоритет устранения следует считать высоким: обновление до 5.1.11 или 5.2.7 закрывает проблему полностью.
Источник: CVE Project (cvelistV5)