„`html
Zusammenfassung
Die Flex Objects Plugin-Version bis 1.4.6 für Grav CMS weist eine kritische Autorisierungslücke in der Flex Objects API auf. Die Schwachstelle ermöglicht es authentifizierten Benutzern mit eingeschränkten Berechtigungen, administrative Konten zu kompromittieren und Superadministrator-Privilegien zu erlangen. Der CVSS-Wert von 8.8 verdeutlicht das erhebliche Sicherheitsrisiko.
Betroffene Systeme
Betroffen sind Installationen des Flex Objects Plugins in den Versionen bis einschließlich 1.4.6, getestet mit Grav CMS 2.0.11. Das Plugin wird häufig zur Verwaltung von benutzerdefinierten Datenstrukturen in Grav-Installationen eingesetzt.
Technische Details
Die Schwachstelle liegt in der FlexApiController::update()-Methode. Diese fĂĽhrt nur eine generische ĂśberprĂĽfung der Flex-Verzeichnisberechtigungen durch und umgeht die speziellen SicherheitsprĂĽfungen fĂĽr Ziel-, Feld- und Super-Admin-Operationen, die in den dedizierten Users- und Groups-API-Controllern implementiert sind.
Ein authentifizierter Benutzer mit folgenden Berechtigungen kann die Schwachstelle ausnutzen:
- api.access
- admin.login
- users.update
Ohne die restriktiveren Berechtigungen api.users.write oder admin.super kann der Angreifer via /api/v1/flex-objects/user-accounts das Passwort eines Superadministrators ändern oder mittels /api/v1/flex-objects/user-groups seiner Gruppe das admin.super-Privileg zuweisen.
Empfohlene Massnahmen
Sofortige Aktion: Das Flex Objects Plugin muss auf Version 1.4.7 oder höher aktualisiert werden. Diese Patch-Version behebt die Autorisierungsprobleme durch Implementierung konsistenter Berechtigungsprüfungen.
Temporäre Mitigation: Bis zur Aktualisierung sollten API-Zugriffe eingeschränkt und die Berechtigungsvergabe für potentially betroffene Konten überprüft werden. Monitoring von API-Aktivitäten auf verdächtige Muster ist empfohlen.
Nachgelagerte Massnahmen: Audit aller Benutzerkonten auf unautorisierte Privilegieeskalationen durchführen und Passwörter von Administratorkonten zurücksetzen.
Bewertung
Mit CVSS 8.8 (High) und direktem Netzwerkzugriff stellt diese Schwachstelle ein erhebliches Risiko dar. Die Möglichkeit der vollständigen Site-Übernahme macht eine unverzügliche Patch-Installation unumgänglich.
„`