„`html

CVE-2026-72819: Remote Code Execution in Grav CMS Flex Objects Plugin

Zusammenfassung

Grav CMS vor Version 2.0.13 weist eine kritische Sicherheitslücke im Flex Objects Plugin auf. Die Vulnerability ermöglicht authentifizierten Benutzern die Ausführung beliebigen PHP-Codes durch manipulierte ZIP-Dateien. Der Schweregrad wird mit CVSS 8.8 (High) bewertet.

Betroffene Systeme

• Grav CMS Versionen vor 2.0.13
• Systeme mit aktiviertem Flex Objects Plugin
• Installationen mit unzureichender Zugriffskontrolle

Technische Details

Die Schwachstelle liegt in der unzureichenden Validierung von Routine-Namen in den Plugin-Einstellungen. Angreifer können folgende Angriffsschritte durchführen:

• Bypass der Namensvalidierung: Array-Notation statt String-Notation verwenden, um Kontrollmechanismen zu umgehen
• ZIP-Datei-Upload: Manipulierte Archive mit PHP-Code erstellen und hochladen
• unZip-Routine-Aufruf: Malicious ZIP mit berechtigten Benutzerkonten entpacken
• Code-Ausführung: PHP-Dateien in das Web-Root-Verzeichnis schreiben und direkt ausführen

Der Angriffsvektor ist netzwerkbasiert und erfordert gültige Authentifizierungsdaten.

Empfohlene Massnahmen

• Sofortmassnahme: Deaktivieren Sie das Flex Objects Plugin bis zum Update verfügbar ist
• Update durchführen: Upgrade auf Grav CMS 2.0.13 oder höher
• Zugriffskontrolle: Beschränken Sie Upload-Berechtigungen auf vertrauenswürdige Benutzer
• Monitoring: Prüfen Sie Logs auf verdächtige ZIP-Uploads und PHP-Dateien im Web-Root
• File-Integrity-Checks: Implementieren Sie automatisierte Überprüfungen auf unauthorized PHP-Dateien

Bewertung

CVSS-Score: 8.8 (High)
Patch-Status: Nicht verfügbar
Exploitierbarkeit: Mittel (Authentifizierung erforderlich)
Empfohlene Priorität: Sofortige Mitigationsmassnahmen notwendig

„`