Grav: Allowlist-Umgehung in Flex-Form-Override-Direktiven
Zusammenfassung
Grav-Versionen 2.0.15 bis 2.2.12 enthalten eine Allowlist-Umgehung in Flex-Form-Overrides. Ein Angreifer mit Seitenbearbeitungsrechten kann manipulierte Felder im Frontmatter einer Seite platzieren, um öffentliche statische Methoden wie Folder::delete oder Utils::download aufzurufen. Dadurch können Verzeichnisse gelöscht, Dateien überschrieben oder Dateien ausserhalb des Seitenbaums gelesen werden. Die Ausnutzung setzt ein gültiges Konto mit Seitenbearbeitungsrechten voraus.
Betroffen
- Grav 2.0.15 bis unterhalb 2.2.13 (Herstellerangabe: 2.0.15 bis 2.2.12)
Behoben in
- Grav 2.2.13
Umgehung
Unbekannt. Das Advisory des Herstellers nennt keinen Workaround; das Upgrade auf 2.2.13 ist die dokumentierte Massnahme.
- Übergangsmassnahme (nicht vom Hersteller): Seitenbearbeitungsrechte auf vertrauenswürdige Mitarbeitende beschränken und das Frontmatter von Seiten auf unerwartete data-*@-Schlüssel oder ungewöhnliche Flex-Form-Schlüssel prüfen.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
- CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Grav im normalen Update-Zyklus auf 2.2.13 oder neuer aktualisieren, ohne die Aktualisierung aufzuschieben.
- Websites mit mehreren Redaktionsmitgliedern, Auftragnehmenden oder Partnern mit Bearbeitungsrechten priorisieren.
- Bearbeitungskonten und Frontmatter von Seiten bis zur Aktualisierung auf unerwartete data-*@-Schlüssel prüfen.
- Auf unerwartete Löschungen oder Änderungen in den Seiten- und Dateiverzeichnissen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-47gg-mh38-9rr7 github.com
- Grav 2.2.13 release github.com
- Fix commit 4d9e3935 github.com
- VulnCheck advisory www.vulncheck.com
- Blueprint.php at 2.2.12 github.com
- Tenable CVE-2026-116019 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:21.
Referenzen der NVD (5)
- https://github.com/getgrav/grav/blob/2.2.12/system/src/Grav/Common/Data/Blueprint.php
- https://github.com/getgrav/grav/commit/4d9e3935f6b79cc1a157914554ccca6066a16f87
- https://github.com/getgrav/grav/releases/tag/2.2.13
- https://github.com/getgrav/grav/security/advisories/GHSA-47gg-mh38-9rr7
- https://www.vulncheck.com/advisories/grav-2.0.15-before-2.2.13-allowlist-bypass-via-flex-form-override-direct…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.