Grav API Plugin: Ressourcenerschöpfung und Umgehung von Seitenberechtigungen
Zusammenfassung
Das Grav API Plugin (grav-plugin-api) für das Grav CMS enthält zwei Schwachstellen. Der öffentliche Übersetzungs-Endpunkt speichert für jeden korrekt formatierten Sprachcode ein vollständiges Übersetzungswörterbuch im Cache, und die Synchronisierungs- und Batch-Kopierfunktionen umgehen die Seitenregeln des Ziels. Nicht authentifizierte Angreifer können kleine Anfragen senden, die je etwa 560 KB speichern, wodurch Speicherplatz oder der APCu-Cache erschöpft wird und die Website ausfällt. Konten mit api.pages.write können Übersetzungen überschreiben oder Seiten erstellen, die Seitenregeln verbieten.
Betroffen
- grav-plugin-api 1.0.16 bis vor 1.0.42 (Prüfungen bei Synchronisierung und Batch-Kopie)
- grav-plugin-api 1.0.40 bis vor 1.0.42 (Übersetzungs-Cache)
Behoben in
- grav-plugin-api 1.0.42
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- Nicht im CISA KEV aufgeführt; EPSS unter 1%
- Kein öffentlicher Proof of Concept gefunden; als unbekannt behandeln
Unsere Empfehlung
- grav-plugin-api auf Version 1.0.42 oder neuer aktualisieren
- Falls das API-Plugin nicht benötigt wird, deaktivieren
- Falls es benötigt wird, den Zugriff auf /api am Reverse Proxy oder der Firewall auf bekannte Netze beschränken
- Speicherplatz und Wachstum des APCu-Caches überwachen
- Konten mit api.pages.write und Seitenregeln überprüfen
- Installierte Version nach dem Update verifizieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-8pcm-97fc-4xwh github.com
- VulnCheck advisory www.vulncheck.com
- OpenCVE CVE-2026-112779 app.opencve.io
- HOL Guard CVE-2026-112779 hol.org
- Grav API getting started (1.x docs) learn.getgrav.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.