Grav API Plugin: Rechteausweitung zu Super-Admin über skalare Zugriffsrechte
Zusammenfassung
Das Grav API Plugin vor 1.0.36 erlaubt einem delegierten Benutzerverwalter, skalare admin- oder api-Parent-Rechte in Zugriffszuordnungen von Konten oder in Einladungen zu speichern. Der Berechtigungsauflöser übernimmt diese Rechte, sodass die Super-Admin-Prüfung erfolgreich ist und der Angreifer auf Super-Admin-Endpunkte der API zugreifen kann. Ein Angreifer benötigt ein Konto mit api.users.write, das typischerweise delegierten Benutzerverwaltern zugewiesen ist, und das Plugin muss installiert und aktiviert sein.
Betroffen
- getgrav/grav-plugin-api Versionen vor 1.0.36 (CNA-Bereich 0 bis < 1.0.36; VulDB und OSV nennen bis 1.0.35)
- Unbekannt, ob ältere Versionen betroffen sind; alle Versionen vor 1.0.36 gelten als betroffen
Behoben in
- Behoben in 1.0.36 (Release Notes: pauschale admin- oder api-Rechte gelten nicht mehr als Super-User; Einladungen können super nicht mehr enthalten)
- Die neueste Version wird empfohlen, da weitere Autorisierungsfehler in späteren Versionen behoben wurden (zum Beispiel 1.0.6, 1.0.10 und 1.0.13)
Umgehung
- Unbekannt. Kein Workaround bekannt, falls der Patch nicht eingespielt werden kann.
- Den API-Zugriff auf vertrauenswürdige Netzwerke oder VPN beschränken.
- Die delegierte Benutzerverwaltung auf wenige vertrauenswürdige Konten begrenzen.
- Bestehende skalare admin- oder api-Parent-Rechte in Konto- und Einladungsdaten manuell entfernen.
Ausnutzung
- Als aktiv ausgenutzt bekannt: nicht gefunden.
- Öffentlicher Proof of Concept: keiner gefunden; dies beweist nicht, dass keiner existiert.
- EPSS: 0.0036.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob grav-plugin-api installiert ist und welche Version läuft.
- Auf 1.0.36 oder, vorzugsweise, die neueste Version aktualisieren.
- Konten mit api.users.write prüfen und deren Zugriffs- und Einladungsdaten auf super- oder api-Parent-Rechte kontrollieren.
- API-Exposition einschränken und die delegierte Benutzerverwaltung auf vertrauenswürdige Konten begrenzen.
- Auf unerwartete Änderungen von Super-Admin-Rechten auf der Website achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m2rq-76vx-vv4j github.com
- VulnCheck advisory www.vulncheck.com
- grav-plugin-api release 1.0.36 github.com
- OSV CVE-2026-109317 osv.dev
- VulDB 417110 vuldb.com
- Rapid7 via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.