高 7.1

BlueSpice 認証済みユーザーが任意のアカウントを停止・解除される

CVE-2026-25716 SecPulse初出 10月23日 17:53

概要

BlueSpice の UserManager 拡張機能に権限チェックの不備があり、特別な権限のない認証済みユーザーが任意のアカウント（管理者を含む）をブロックまたは解除できます。管理者がロックアウトされるサービス妨害や、管理者が設定したブロックの解除が起こるおそれがあります。影響を受けるのは 5.0.0 以上 5.1.11 未満と 5.2.0 以上 5.2.7 未満で、5.1.11 または 5.2.7 以降へのアップデートが必要です。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Hallo Welt! GmbH	BlueSpice	5.0.0 以上 5.1.11 未満 5.2.0 以上 5.2.7 未満	5.1.11 5.2.7

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Missing Authorization vulnerability in Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) allows any authenticated user without special privileges to block or unblock arbitrary user accounts, including administrators. The REST endpoints /bs-usermanager/v1/block/create and /bs-usermanager/v1/block/delete call UserManager::blockUser() and UserManager::unblockUser(), which do not verify the permissions of the acting user. This allows locking out all administrators (denial of service) and lifting blocks imposed by administrators.

This issue affects BlueSpice: from 5.0.0 before 5.1.11, from 5.2.0 before 5.2.7.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory