Grav: Allowlist-Umgehung ermöglicht beliebige statische Methodenaufrufe über Flex-Formulare

Zusammenfassung

Grav-Versionen 2.0.15 bis 2.2.1 enthalten eine Allowlist-Umgehung in Flex-Formularen. Ein Editor mit Seitenbearbeitungsrechten kann ein Formularfeld mit replace-name@ umbenennen, um data-*@-Direktiven an der Prüfung vorbei einzuschleusen und Folder::delete, Folder::move, Folder::copy oder Utils::download aufzurufen. Damit lassen sich Verzeichnisse löschen, Dateien überschreiben und Dateien ausserhalb des Seitenbaums lesen. Die Direktive wird beim Aufbau des Seitenformulars ausgeführt, daher kann auch ein Administrator betroffen sein, der die Seite öffnet.

Betroffen

• Grav 2.0.15 bis 2.2.1 (CVE-Eintrag: vor 2.2.2)
• Gemäss GHSA-47gg-mh38-9rr7 funktioniert die Umgehung bis 2.2.12 weiterhin

Behoben in

• Grav 2.2.2 (gemäss CVE-Eintrag; der Folgehinweis erklärt diese Korrektur für unvollständig)
• Grav 2.2.13 (gemäss GHSA-47gg-mh38-9rr7)
• Neueste 2.2.x-Version (aktuelle Version auf der offiziellen Grav-Release-Seite zu prüfen)

Umgehung

• Unbekannt. Keine vom Hersteller dokumentierte Umgehungsmassnahme.
• Seitenbearbeitungsrechte auf vertrauenswürdige Editoren beschränken.

Ausnutzung

• Gemäss den geprüften Quellen nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung gemeldet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Grav-Instanzen und deren Versionen erfassen.
• Auf mindestens 2.2.13 aktualisieren, vorzugsweise auf die neueste 2.2.x-Version.
• Konten mit Seitenbearbeitungsrechten überprüfen und einschränken.
• Auf unerwartete Änderungen an Dateien und Verzeichnissen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9rq7-4cch-f22j github.com
• GitHub Security Advisory GHSA-47gg-mh38-9rr7 (incomplete fix, follow-up) github.com
• VulnCheck advisory www.vulncheck.com
• Grav 2.2.2 release notes github.com
• VulDB entry 422520 vuldb.com
• OpenCVE CVE-2026-112780 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:14.