Grav CMS: Informationsoffenlegung über verschachtelte .git-Verzeichnisse

Zusammenfassung

Grav vor 2.1.7 enthält Webserver-Konfigurationen, die den Zugriff auf .git-Ordner nur im Dokumentenstammverzeichnis blockieren. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann verschachtelte Repositories wie user/.git abrufen und Git-Konfiguration, Refs und Objekte erhalten. Dadurch lassen sich nicht veröffentlichte Historie oder committete Geheimnisse rekonstruieren. Laut Herstellerberatung ist Apache nicht betroffen, nginx, lighttpd, IIS und Caddy 2 hingegen schon.

Betroffen

• Grav-Versionen vor 2.1.7 (CVE-Eintrag: 0 bis < 2.1.7)
• Die Seitenleiste der Herstellerberatung nennt <= 2.1.2, der Beratungstext nennt Releases bis 2.1.6 und das Wartungsrelease 1.7.53.2 als betroffen
• Betroffene Serverkonfigurationen: nginx, lighttpd, IIS und Caddy 2 (Apache ist laut Beratung nicht betroffen)

Behoben in

• Grav 2.1.7 (gemäss CVE-Eintrag; noch nicht in den Release Notes des Herstellers bestätigt)
• Die Seitenleiste der Herstellerberatung nennt 2.1.3 als korrigierte Version; dieser Wert gilt als möglicherweise veraltet
• Korrektur für den Wartungszweig 1.7.x: Unbekannt

Umgehung

• Den Webserver so konfigurieren, dass Anfragen mit einem .git-Segment in beliebiger Tiefe vor den statischen Dateihandlern abgelehnt werden
• Die aktive Serverkonfiguration prüfen, nicht nur die Beispieldateien des Grav-Pakets, da kopierte Konfigurationen nicht automatisch aktualisiert werden
• .git-Ordner aus dem Webroot entfernen, falls sie nicht benötigt werden

Ausnutzung

• Bekannt ausgenutzt: Nein (gemäss aktuellen Quellen)
• CISA KEV: nicht gelistet
• Öffentlicher Proof of Concept: keiner gefunden
• EPSS: 0.00349 (niedrig)
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise

Unsere Empfehlung

• Grav auf Version 2.1.7 oder neuer aktualisieren, sobald das Release bestätigt ist, und die Release Notes des Herstellers für Wartungszweige prüfen
• Die aktive Webserver-Konfiguration prüfen und verschachtelte .git-Pfade in beliebiger Tiefe blockieren
• Testen, dass Anfragen auf verschachtelte .git-Pfade keinen Inhalt liefern
• Prüfen, ob Website-Verzeichnisse als Git-Arbeitskopie im Webroot liegen, insbesondere bei Git-basierter Bereitstellung oder Synchronisation
• Repositories auf offengelegte Zugangsdaten prüfen und mögliche betroffene Geheimnisse rotieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5vx9-x8f2-f55w github.com
• VulnCheck advisory: Grav before 2.1.7 Information Disclosure via Nested .git Directories www.vulncheck.com
• OpenCVE CVE-2026-109326 app.opencve.io
• Vulners NVD:CVE-2026-109326 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:46.