Grav CMS: Denial of Service durch Umgehung des Bildpixellimits

Zusammenfassung

Grav CMS in den Versionen 1.7.53 vor 1.7.53.5 und 2.0.0-rc.8 vor 2.2.2 enthält eine Schwachstelle bei der Ressourcenerschöpfung in der Bildverarbeitung. Ist system.images.url_actions aktiviert, lässt sich das Limit system.images.max_pixels mit eindimensionalen, prozentualen, zoomCrop- oder verketteten Bildaktionen umgehen. Ein anonymer Besucher kann mit einer kurzen Anfrage bewirken, dass die GD-Bibliothek Canvases im Gigabyte-Bereich allokiert, den Arbeitsspeicher erschöpft und die Website lahmlegt.

Betroffen

• Grav 1.7.53 vor 1.7.53.5
• Grav 2.0.0-rc.8 vor 2.2.2
• Nur Websites mit aktiviertem system.images.url_actions sind betroffen (Standard: deaktiviert, nicht durch die Primärquelle bestätigt).

Behoben in

• Grav 1.7.53.5
• Grav 2.2.2

Umgehung

• system.images.url_actions deaktivieren (abgeleitete Massnahme, nicht durch eine Herstellerquelle bestätigt).
• Bildgenerierungs-Anfragen mit einem Reverse Proxy oder einer WAF ratenlimitieren (allgemeine Praxis).

Ausnutzung

• CVSS 8.7 (v4.0) gemäss CVE-Eintrag; der Hersteller stuft die Schwachstelle als Moderate ein.
• Keine bekannte Ausnutzung; in den geprüften Quellen nicht als aktiv ausgenutzt gelistet. CISA KEV nicht direkt geprüft.
• Kein öffentlicher Proof of Concept gefunden.
• Automatisierbar: ja (CISA SSVC).

Unsere Empfehlung

• Installierte Grav-Version prüfen und auf 1.7.53.5 oder 2.2.2 aktualisieren.
• Prüfen, ob system.images.url_actions aktiviert und benötigt ist; falls nicht benötigt, deaktivieren.
• Advisory GHSA-8gr9-59p6-r488 direkt für die offizielle Versionsliste lesen.
• Server auf Speichererschöpfung überwachen und auf öffentliche PoCs oder KEV-Eintrag achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8gr9-59p6-r488 github.com
• VulnCheck Advisory: Grav image pixel limit bypass www.vulncheck.com
• Grav Security Advisories github.com
• OpenCVE entry CVE-2026-112782 app.opencve.io
• OSV entry CVE-2026-112782 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:57.