Grav CMS: Authentifizierungsumgehung im Clockwork-Profiler via Proxy

Zusammenfassung

Grav ab 2.0.22 bis vor 2.1.7 enthält eine Authentifizierungsumgehung im Clockwork-Profiler, der Loopback-REMOTE_ADDR-Werte vertraut. Anfragen über einen HTTP-Proxy auf demselben Host erscheinen als Loopback, weshalb ein nicht authentifizierter Angreifer Profiler-Datensätze auslesen kann. Diese Datensätze können System- und Plugin-Konfiguration, Geheimnisse, Request-Metadaten und Datenbankabfragen offenlegen. Voraussetzung sind aktiviertes Clockwork und ein Reverse-Proxy auf demselben Host; das Standard-Setup mit FastCGI ist nicht betroffen.

Betroffen

• Grav 2.0.22 bis vor 2.1.7 (gemäss CVE-Eintrag)
• Nur Installationen mit aktiviertem Clockwork hinter einem HTTP-Proxy auf demselben Host
• Das GitHub-Advisory nennt abweichende Versionsbereiche; gegen die Release Notes des Herstellers prüfen

Behoben in

• Grav 2.1.7 (gemäss CVE-Eintrag nicht betroffen)
• Der Hersteller erwähnt eine Backportierung des Fixes in einer späteren Version; die Versionsnummer ist unbekannt.

Umgehung

• Kein offizieller Workaround ausser Upgrade oder Einschränkung der Exposition.
• Unbekannt: ob das Deaktivieren von Clockwork oder des Debuggers die Exposition vollständig entfernt.
• Nach dem Upgrade debugger.token wie vom Fix verlangt setzen und die Clockwork-Konfiguration prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; kein Eintrag im CISA-KEV-Katalog gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Alle Grav-Installationen inventarisieren und Versionen von 2.0.22 bis 2.1.6 identifizieren.
• Auf Grav 2.1.7 oder neuer aktualisieren und debugger.token sowie Clockwork-Einstellungen prüfen.
• SMTP-Zugangsdaten, API-Schlüssel und weitere Geheimnisse auf betroffenen, öffentlich erreichbaren Installationen rotieren.
• Webserver-Zugriffsprotokolle auf ungewöhnliche Anfragen an Profiler-Pfade prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v8fx-pc9p-934x github.com
• VulnCheck Advisory: Grav Clockwork Profiler Authentication Bypass via Proxy www.vulncheck.com
• OSV: CVE-2026-109325 osv.dev
• Grav Releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:47.