Vulnérabilité dans Grav CMS (CVE-2026-100670)
Résumé
Vulnérabilité dans Grav CMS (CVE-2026-100670). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via access.admin.super. Atténuation : mise à jour vers 2.0.25 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Grav CMS 2.0.14 through 2.0.24 contains a privilege escalation vulnerability in the group and account blueprints. The access map is gated by a security@: admin.super guard that is resolved by the field's exact path, so a submitted flat dot-notation key such as access.admin.super (instead of the nested access[admin][super]) matches no blueprint rule, survives BlueprintSchema::filterArray() and flattening, and is written by FlexObject::update() via setNestedProperty(), which splits on . and reconstructs the nested value. An authenticated backend operator using the flex accounts backend who holds admin.users but not admin.super can therefore grant admin.super to their own account or to a group they belong to and escalate to full super-admin, gaining control over configuration, plugin and theme installation, the file manager, and all accounts. Fixed in 2.0.25, which drops any dotted key whose ancestor path is disabled or marked validate.ignore.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-100670 a été découverte dans Grav CMS.
Des attaquants peuvent cibler un point d'entrée spécifique comme access.admin.super à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : mettez à jour Grav CMS vers 2.0.25 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Grav CMS CVE-2026-100670 » sur le site de l'éditeur.
CVE-2026-100670 (Grav CMS) — CWE-639 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : access.admin.super
Correctif : 2.0.25 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-639) affecte Grav CMS. Les attaquants atteignent le code vulnérable via access.admin.super.
Consultez l'avis de l'éditeur pour les versions affectées de Grav CMS. Surface d'attaque : access.admin.super.
Gravité : Élevée (CVSS 8.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 2.0.25.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで Grav CMS を使っているサービスとバージョンを洗い出す。
-
2Apply patch patch
Upgrade Grav CMS to 2.0.25ステージング環境で 2.0.25 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Références
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com