Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 23 OCT · 08:35

CVE-2026-25716 Falta de autorización en los endpoints REST de bloqueo y desbloqueo de usuarios de BlueSpiceUserManager

Los endpoints REST /bs-usermanager/v1/block/create y /bs-usermanager/v1/block/delete llaman a UserManager::blockUser() y UserManager::unblockUser() sin verificar los permisos del usuario que actúa. Cualquier usuario autenticado sin privilegios especiales puede bloquear o desbloquear cuentas arbitrarias, incluidos administradores, lo que permite dejarlos fuera de servicio y levantar bloqueos impuestos por administradores. Afecta a BlueSpice desde 5.0.0 antes de 5.1.11 y desde 5.2.0 antes de 5.2.7.

7.1ALTA

CVSS 3.1

  • CVSS 4.07.1 · alta
  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Hallo Welt! GmbH BlueSpice

    desde 5.0.0 hasta antes de 5.1.11desde 5.2.0 hasta antes de 5.2.7

Qué hacer

  1. Verificá si usás BlueSpice y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadAlta

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Missing Authorization vulnerability in Hallo Welt! GmbH BlueSpice (Extension:BlueSpiceUserManager) allows any authenticated user without special privileges to block or unblock arbitrary user accounts, including administrators. The REST endpoints /bs-usermanager/v1/block/create and /bs-usermanager/v1/block/delete call UserManager::blockUser() and UserManager::unblockUser(), which do not verify the permissions of the acting user. This allows locking out all administrators (denial of service) and lifting blocks imposed by administrators. This issue affects BlueSpice: from 5.0.0 before 5.1.11, from 5.2.0 before 5.2.7.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.