【漏洞预警】BlueSpice 爆严重漏洞，只读用户能变成管理员（CVE-2026-25784）

官方镜像 bluespice/wiki 在未设置 WIKI_SERVICE_TOKEN_AUTH_ALLOWED 时，会关掉服务令牌的 IP 限制。有读权限的用户，包括允许匿名阅读的实例上的未登录访问者，可以拿到内部服务用户的管理员会话（CVE-2026-25784，CVSS 3.1 为 9.8，CVSS 4.0 为 9.3）。受影响的是 5.2.3 至 5.2.6，以及 2026-10-19 15:37 UTC 之前发布的 5.2.7 镜像。请重新拉取 5.2.7 并重建容器。