Grav Login plugin: Rechteausweitung über das Einladungsformular login.invite
Zusammenfassung
Das Login-Plugin für das Grav CMS (3.6.0 bis 3.9.12) erlaubt es jeder Person, die eine Seite mit Einladungsformular laden kann, das Formular ohne Anmeldung abzuschicken. Über den Frontmatter der Seite kann dabei Super-User-Zugriff vergeben werden, sodass ein Angreifer eine eingeladene Adresse als Super User registrieren kann. Ein Angreifer, der Seiten erstellen oder bearbeiten kann, zum Beispiel über ein kompromittiertes Redaktionskonto, kann die Website ohne Mitwirkung eines Administrators vollständig übernehmen.
Betroffen
- getgrav/grav-plugin-login (Login-Plugin) Versionen 3.6.0 bis 3.9.12
- Läuft auf Grav 1.7 und Grav 2.x
- Websites ohne Einladungsformular auf einer Seite sind über diesen Weg wahrscheinlich nicht betroffen (Einschätzung)
Behoben in
- Login-Plugin 3.9.13
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme; die einzige dokumentierte Abhilfe ist das Upgrade auf 3.9.13.
- Falls ein Upgrade verzögert werden muss (eigene Vorschläge, nicht vom Hersteller): Wer Seiten erstellen oder bearbeiten darf, einschränken, Seiten auf Einladungsformular-Definitionen prüfen, Benutzerkonten auf unerwartete Super User prüfen und ausstehende Einladungen in user/data/accounts/invites.yaml prüfen
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (KEV: No).
- CISA SSVC: Exploitation none, automatable no, technical impact total.
- Kein öffentlicher Proof of Concept gefunden; die Quellen widersprechen sich zur Verfügbarkeit eines Exploits, daher als unbestätigt behandeln.
Unsere Empfehlung
- Alle Grav-Websites inventarisieren und composer.lock auf getgrav/grav-plugin-login in den Versionen 3.6.0 bis 3.9.12 prüfen.
- Betroffene Websites auf 3.9.13 aktualisieren, zuerst testen.
- Super-User-Konten und aktuelle Einladungen überprüfen.
- Prüfen, wer Rechte zum Erstellen von Seiten besitzt.
- Logs auf unerwartete Kontoerstellungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-j8jx-ccrg-m7h2 github.com
- VulnCheck advisory: Grav Login plugin privilege escalation via login.invite www.vulncheck.com
- VulDB entry 425123 vuldb.com
- Login plugin changelog github.com
- HOL Guard CVE-2026-114658 hol.org
- Strix CVE-2026-114658 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.