Grav Git Sync: OS-Command-Injection über den Commit-Autor

Zusammenfassung

Grav Git Sync, ein Plugin für das Flat-File-CMS Grav, erstellt Git-Befehle als Shell-Strings und fügt Profilwerte ohne ausreichende Maskierung in den Commit-Autor ein. Ein authentifizierter Content-Editor kann einen manipulierten Benutzernamen, vollen Namen oder eine E-Mail-Adresse setzen, die beim Committen einer synchronisierten Änderung als Betriebssystembefehl ausgeführt wird. Voraussetzung ist, dass der Administrator den Autorenmodus gravuser oder gravfull gewählt hat; der Standardmodus ist über diesen Pfad nicht betroffen.

Betroffen

• Grav Git Sync (trilbymedia/grav-plugin-git-sync) 1.0.2 bis 3.4.12
• Nur Websites mit dem Autorenmodus gravuser oder gravfull sind über diesen Pfad gefährdet

Behoben in

• Git Sync 3.4.13 (laut Herstellerhinweis; Veröffentlichung noch nicht unabhängig verifiziert)

Umgehung

• Den Autorenmodus auf den Standardmodus gituser zurücksetzen, sofern dies für die Commit-Zuordnung akzeptabel ist. Vorher testen.
• Editor-Konten auf vertrauenswürdige Mitarbeitende beschränken und deren Profilfelder prüfen.
• Unbekannt: Der Hersteller veröffentlicht keinen offiziellen Workaround.

Ausnutzung

• CISA-ADP (Vulnrichment) führt die Ausnutzung als none; nicht im CISA KEV.
• EPSS beträgt 1,2 Prozent.
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies belegt jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Prüfen, ob Git Sync installiert ist, welche Version läuft und welcher Autorenmodus konfiguriert ist.
• Falls der Autorenmodus gravuser oder gravfull ist, sofort auf den Standard umstellen oder den Editor-Zugriff einschränken.
• Upgrade auf Git Sync 3.4.13 durchführen, sobald die Veröffentlichung bestätigt ist.
• Editor-Konten prüfen und kontrollieren, ob das Admin-Panel aus dem Internet erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-c89w-55m3-fmf7 github.com
• VulnCheck advisory: Grav Git Sync command injection via commit author www.vulncheck.com
• OpenCVE CVE-2026-109318 app.opencve.io
• OSV CVE-2026-109318 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:47.