CVE-2026-75837: Escalonamento de privilégios no Grav via campo de acesso de grupo
As versões do Grav anteriores à 2.0.14 não protegem o campo de acesso do blueprint de grupo core com a restrição de super-admin exigida. Segundo o registro, um usuário delegado com permissão admin.users pode salvar um grupo com acesso elevado e se tornar super-admin, o que também concede capacidades de scheduler e de avaliação Twig. Não há exploração ativa confirmada nas fontes consultadas.
Visão geral
As versões do Grav anteriores à 2.0.14 apresentam uma falha de escalonamento de privilégios no blueprint de grupo core. O campo de acesso não está protegido pela restrição de super-admin exigida pelo projeto, permitindo que um operador delegado de gestão de usuários eleve os próprios privilégios. As fontes consultadas são o aviso de segurança no GitHub e o aviso da VulnCheck.
Impacto
- Um operador delegado com permissão admin.users pode escalar para super-admin.
- Segundo o registro, o status de super-admin concede capacidades de scheduler e de avaliação Twig.
- A VulnCheck informa pontuação CVSS 3.1 de 9.1 (Crítica) e pontuação CVSS 4.0 de 9.3 no registro.
Produtos e versões afetadas
- Getgrav Grav em versões anteriores à 2.0.14.
- A lista estruturada de correções do registro está vazia. A faixa afetada indicada termina antes da 2.0.14, portanto a atualização para a 2.0.14 ou posterior aparenta ser a correção (inferência).
Status de exploração
- O registro indica que este CVE não consta no catálogo KEV da CISA.
- Não há exploração ativa confirmada nas fontes consultadas.
- O valor SSVC de exploração no registro é 'poc' e o campo automatizável é 'no'.
- A probabilidade EPSS é 0.00494, com percentil de 0.40749, datada de 2026-10-13.
Remediação e mitigação
- Atualize o Grav para a versão 2.0.14 ou posterior.
- Até a atualização, revise quais contas possuem a delegação admin.users e restrinja essa permissão a operadores de confiança.
- Audite as definições de grupos existentes em busca de concessões inesperadas de super-admin ou de acesso elevado.
Orientação para detecção
- Revise os dados de configuração de usuários e grupos em busca de grupos com configurações administrativas inesperadas.
- Audite alterações recentes em registros de grupos feitas por administradores delegados.
- Correlacione a atividade do painel administrativo com alterações nas configurações de scheduler ou de templates.
Limitações das informações disponíveis
- O status de origem do registro é Deferred e os dados estruturados não contêm versão corrigida.
- O registro não traz detalhes de prova de conceito nem a lista completa de ramos de versão afetados além da faixa indicada.
- O registro não informa se o problema foi observado em ambientes de produção.
Perguntas frequentes
Qual é o problema central dessa vulnerabilidade do Grav?
O campo de acesso do blueprint de grupo core não é protegido pela restrição de super-admin exigida nas versões anteriores à 2.0.14, permitindo que um operador delegado com admin.users escale privilégios.
Há registro de exploração ativa dessa falha?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.