Grav: Autorisierungsumgehung im Clockwork-Profiler
Zusammenfassung
Grav-Versionen 1.7.53.3 bis 1.7.53.6 enthalten eine Autorisierungsumgehung im Clockwork-Profiler-Endpunkt /__clockwork/. Der Zugriff wird gewährt, wenn eine Anfrage scheinbar von der Loopback-Adresse stammt, weshalb über einen Reverse Proxy auf demselben Host weitergeleitete Anfragen als vertrauenswürdig gelten. Ein nicht authentifizierter Angreifer aus dem Netz kann so gespeicherte Profiler-Daten auslesen, die Administratorpasswörter im Klartext und Konfigurationszugangsdaten enthalten können.
Betroffen
- Grav 1.7.53.3 bis, aber ohne 1.7.53.6
- Versionen vor 1.7.53.3: Unbekannt.
- Grav 2.x: separates Problem CVE-2026-109325, behoben in 2.1.7 oder neuer.
Behoben in
- Grav 1.7.53.6
- Grav 2.1.7 (für den 2.x-Zweig, siehe CVE-2026-109325)
Umgehung
- Unbekannt. Es ist kein offizieller Workaround dokumentiert.
- Bis zur Aktualisierung den Zugriff auf /__clockwork/ im Webserver oder Reverse Proxy auf vertrauenswürdige interne Netze beschränken.
- Den Debugger deaktivieren (system.debugger.enabled: false), falls er nicht benötigt wird.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept-Exploit gefunden.
- Laut den konsultierten Quellen nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Grav auf 1.7.53.6 oder neuer aktualisieren (im 2.x-Zweig auf 2.1.7 oder neuer).
- Prüfen, ob der Debugger aktiviert ist, und ihn bei Nichtbedarf deaktivieren.
- Bis zur Aktualisierung den Zugriff auf /__clockwork/ auf vertrauenswürdige Netze beschränken.
- War der Debugger auf einer exponierten Website aktiviert, Administratorpasswörter und alle in der Konfiguration gespeicherten Zugangsdaten erneuern, da sie vor der Behebung ausgelesen worden sein könnten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub commit 4d9fca0 (fix) github.com
- Grav release 1.7.53.6 github.com
- GitHub Security Advisory GHSA-xprx-c7jf-cp6g github.com
- VulnCheck advisory www.vulncheck.com
- Vulners CVE-2026-117604 vulners.com
- OffSeq exposure summary radar.offseq.com
- TheHackerWire CVE-2026-117604 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:56.
Referenzen der NVD (4)
- https://github.com/getgrav/grav/commit/4d9fca043f990a818d65cea61c928203b9e19641
- https://github.com/getgrav/grav/releases/tag/1.7.53.6
- https://github.com/getgrav/grav/security/advisories/GHSA-xprx-c7jf-cp6g
- https://www.vulncheck.com/advisories/grav-from-1.7.53.3-before-1.7.53.6-clockwork-profiler-authorization-bypa…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.