„`html
CVE-2026-46656: Bludit Session-Validierungslücke
Zusammenfassung
Eine kritische Schwachstelle in Bludit vor Version 3.22.0 ermöglicht es deaktivierten Benutzern, ihre Systemzugriffe über ungültig gewordene Sessions beizubehalten. Die Vulnerability klassifiziert sich als Broken Access Control (CWE-639) mit einem CVSS-Score von 8.8 (High).
Betroffene Systeme
Bludit Content Management System in allen Versionen vor 3.22.0. Die Vulnerability betrifft mehrere Deployment-Szenarien, in denen Benutzerkonten aus der Datenbank gelöscht werden, ohne die entsprechenden aktiven Sessions zu invalidieren.
Technische Details
Das Kernproblem liegt in der Session-Verwaltungslogik: Nach dem physikalischen Löschen eines Benutzerkontos werden existierende Authentifizierungssessions nicht validiert. Der Authentifizierungsmechanismus überprüft Session-Tokens nicht gegen die aktuelle Benutzerdatenbank, sondern vertraut auf bereits ausgestellte Credentials.
Ein Angreifer, der Zugriff auf eine gültige Session hat oder eine Benutzerentfernung erzwingt, kann unautorisierten Zugriff auf System-Funktionen aufrechterhalten. Dies ermöglicht Datenabgriffe, Manipulation von Inhalten und potenzielle Privilege-Escalation.
Angriffsvektor: Network (netzwerkbasiert), keine lokale Authentifizierung erforderlich.
Empfohlene Massnahmen
- Unmittelbare Aktualisierung auf Bludit 3.22.0 oder höher durchführen
- Alle aktiven Sessions nach Benutzerentfernungen manuell invalidieren
- Session-Timeout-Mechanismen implementieren und verkürzen
- Access-Logs auf verdächtige Aktivitäten prüfen
- Administratorkonten mit starken Credentials schützen
Bewertung
CVSS v3.1 Score: 8.8 (High)
Patch-Status: Verfügbar (Version 3.22.0)
Die Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar und erfordert sofortige Aufmerksamkeit, insbesondere in produktiven Umgebungen mit kritischen Inhalten.
„`