Grav CMS: Offenlegung geschützter Konfiguration über Formular-Direktiven

Zusammenfassung

Grav 2.0.0 bis 2.2.1 erlaubt einem Benutzer mit Seiten-Bearbeitungsrecht, config-*@-Direktiven in Formularen des Seiten-Frontmatters zu hinterlegen. Damit wird die Redaktion der Twig-Sandbox umgangen, und geschützte Werte wie security.salt, Plugin-Zugangsdaten und Redis-Passwörter werden in die gerenderte Seite geschrieben. Die Werte sind danach für alle Besucher der Seite sichtbar, einschliesslich anonymer Benutzer aus dem Internet.

Betroffen

• Grav 2.0.0 bis vor 2.2.2 (das Advisory nennt 2.0.0 bis 2.2.1)
• Grav 1.7 ist laut Advisory nicht betroffen

Behoben in

• Grav 2.2.2

Umgehung

• Unbekannt. Das Advisory nennt keinen Workaround, da eine korrigierte Version existiert.
• Falls Sie nicht sofort patchen können: Seiten-Bearbeitungsrechte auf vertrauenswürdige Mitarbeitende beschränken und Formulare im Seiten-Frontmatter auf config-*@-Direktiven prüfen.

Ausnutzung

• Das Advisory erwähnt keine Ausnutzung.
• Ein Aggregator meldet, dass die Quellen die Schwachstelle nicht als aktiv ausgenutzt markieren.
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Grav auf Version 2.2.2 oder neuer aktualisieren.
• Konten mit Seiten-Bearbeitungsrecht prüfen und nicht benötigte Rechte entfernen.
• Bestehende Seiten auf config-*@-Direktiven im Formular-Frontmatter prüfen.
• Bei vermuteter Offenlegung die preisgegebenen Geheimnisse (security.salt, Redis-Passwort, Proxy- und Plugin-Zugangsdaten) rotieren. Vor der Rotation von security.salt die Grav-Dokumentation beachten, da Sitzungen und signierte Formulare ungültig werden können.
• Die CVSS-Bewertung unterscheidet sich je nach Quelle (8.7 in CVE/CVSS 4.0, 6.5 und 4.3 in anderen Quellen). Das Patchen für Seiten mit mehreren Bearbeitenden oder externen Dienstleistern priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub advisory GHSA-8wwq-x3w5-fxmw github.com
• Grav 2.2.2 release github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-112781 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:56.