„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-72829 betrifft das Grav API Plugin (getgrav/grav-plugin-api) in Versionen vor 1.0.13. Eine Scope-Cap-Umgehung in den Methoden create() und update() des UsersControllers ermöglicht es Angreifern, Super-Admin-Privilegien zu erlangen. Ein API-Schlüssel mit eingeschränkten api.users.write-Berechtigung kann missbraucht werden, um vollständige administrative Zugriffsrechte zu erlangen.
Betroffene Systeme
Das Grav API Plugin ist betroffen in allen Versionen vor 1.0.13. Besonders gefährdet sind Installationen, bei denen Super-Admin-Konten API-Schlüssel mit api.users.write-Scope erstellt haben.
Technische Details
Die Vulnerabilität liegt in einer unzureichenden Scope-Validierung bei der Benutzerkontoerstellung und -aktualisierung. Die betroffenen Methoden validieren den Scope korrekt für die Schreiboperation api.users.write, überprüfen aber die Super-Admin-Berechtigung mittels eines direkten isSuperAdmin()-Aufrufs ohne die Scope-Restrictions des API-Schlüssels zu berücksichtigen.
Ein Angreifer mit einem api.users.write-SchlĂĽssel kann daher:
- Das Attribut
access.api.supersetzen - Benutzer Super-Admin-Gruppen zuweisen
- Ein neues Super-Admin-Konto erstellen oder bestehendes Konto hochstufen
- Sich mit dem neu erstellten Super-Admin-Konto authentifizieren
- Vollständige administrative Kontrolle über die Grav-Installation erlangen
Empfohlene Massnahmen
Sofortige MaĂźnahmen:
- Update auf Grav API Plugin Version 1.0.13 oder höher durchführen
- Alle bestehenden API-SchlĂĽssel mit
api.users.write-Scope ĂĽberprĂĽfen und neu ausstellen - API-SchlĂĽssel mit minimalen notwendigen Berechtigungen verwenden
- Benutzerkonten und Gruppenzuweisungen auf unbefugte Ă„nderungen prĂĽfen
Bewertung
CVSS 3.1 Score: 9.8 (Critical)
Aufgrund der netzwerkgestützten Ausnutzbarkeit ohne Authentifizierung (durch Missbrauch bestehender Keys) und dem Resultat vollständiger Systemkompromittierung wird diese Lücke als kritisch eingestuft. Eine unverzügliche Behebung ist erforderlich.
„`