„`html
Zusammenfassung
CVE-2026-72830 ist eine kritische Sicherheitslücke im Grav API Plugin, die eine unzureichende Validierung von API-Schlüssel-Scopes in der ConfigController-Klasse betrifft. Die Schwachstelle ermöglicht es Angreifern mit eingeschränkten API-Zugriffsrechten, beliebige Befehle in die Scheduler-Konfiguration einzuschleusen und diese durch Symfony Process remote auszuführen.
Betroffene Systeme
Das Grav API Plugin in Versionen vor 1.0.13 ist vulnerabel. Die Sicherheitslücke betrifft Installationen, die das API Plugin mit aktivierter Scheduler-Funktionalität nutzen. Betroffene Versionen umfassen alle Releases vor der Patch-Version 1.0.13.
Technische Details
Die Schwachstelle liegt in der unzureichenden Durchsetzung von API-Schlüssel-Scopes im ConfigController. Konkret validiert der Controller nicht korrekt, ob ein scoped api.config.write-Schlüssel Zugriff auf die Scheduler-Konfiguration hat. Angreifer können die super-scope gates umgehen und direkt auf sensitive Konfigurationsparameter zugreifen.
Ein Angreifer mit einem gültigem, aber auf api.config.write begrenztem API-Schlüssel kann den Endpoint nutzen, um beliebige Befehle in den scheduler.custom_jobs-Parameter einzufügen. Diese Jobs werden anschließend durch das Symfony Process-Framework ausgeführt, was Remote Code Execution (RCE) mit den Berechtigungen des Webservers ermöglicht.
Der CVSS-Score von 9.8 (Critical) reflektiert die hohe Netzwerk-Ausnutzbarkeit, die fehlende Authentifizierung für die RCE sowie die vollständige Systemkompromittierung.
Empfohlene Massnahmen
Es wird dringend empfohlen, das Grav API Plugin auf Version 1.0.13 oder höher zu aktualisieren, sobald ein Patch verfügbar ist. Bis dahin sollten API-Schlüssel mit api.config.write-Scope entzogen oder deaktiviert werden. Zusätzlich empfiehlt sich eine Einschränkung des API-Zugriffs auf vertrauenswürdige IP-Adressen mittels WAF-Regeln oder Firewall-Policies.
Bewertung
Kritikalität: Critical | CVSS Score: 9.8 | Verfügbarkeit eines Patches: Noch nicht verfügbar
„`