CVE-2026-56710: Kritisk fejl i Grav Login-plugin

CVE-2026-56710 er en fejl i Grav Login-plugin, en udvidelse til indholdssystemet Grav CMS, der styrer login og kontosikkerhed. Fejlen sidder i funktionen, der låser en konto efter for mange forkerte loginforsøg, kaldet en lockout-tæller. Systemet kontrollerer ikke, om den bruger, der nulstiller lockout-tælleren, faktisk har ret til at gøre det på en konto med den højeste rettighed, admin.super. En bruger med den begrænsede API-rettighed api.users.write kan derfor fjerne brute-force-beskyttelsen fra en super admin-konto, selv om vedkommende ikke selv har administratorrettigheder.

Det rammer alle websites, der kører Grav CMS med Login-plugin i en version ældre end 1.0.16, og hvor der findes API-brugere med rettigheden api.users.write. Det gælder typisk installationer, hvor flere personer eller systemer har adgang via API-konti med begrænsede rettigheder, for eksempel redaktører, integrationer eller automatiserede tjenester. Er der oprettet konti med rollen admin.super, er de særligt udsatte.

En angriber, der allerede har eller får adgang til en konto med api.users.write, kan nulstille lockout-tælleren på jeres super admin-konto. Dermed kan angriberen efterfølgende gennemføre et brute-force-angreb, gætte adgangskoden systematisk, uden at blive blokeret. Lykkes det, får angriberen fuld kontrol over websitet med de højeste rettigheder, herunder mulighed for at ændre indhold, oprette nye konti og installere yderligere funktionalitet.

NVD sætter CVSS-scoren til 9,8 ud af 10, kritisk. Angrebet kræver netværksadgang, lav teknisk kompleksitet og ingen brugerinteraktion fra offeret. Det afgørende er dog, at angriberen skal have en konto med rettigheden api.users.write for at udnytte fejlen. Har man ikke styr på, hvem der har den rettighed, er risikoen reel, fordi selve udnyttelsen derefter er trivial og ikke kræver yderligere rettigheder. Der er ikke oplysninger om, at fejlen aktivt udnyttes, eller at der findes offentligt tilgængelig angrebskode.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér Grav Login-plugin til version 1.0.16 eller nyere. Det retter selve fejlen i autorisationskontrollen.
2. Gennemgå alle API-brugere med rettigheden api.users.write, og fjern rettigheden fra konti, der ikke har brug for den.
3. Kontrollér, hvem der har rollen admin.super, og sørg for, at disse konti har stærke, unikke adgangskoder og to-faktor-login, hvor det er muligt.
4. Gennemgå login-logs for super admin-konti for uventede eller mange fejlede loginforsøg forud for opdateringen.
5. Er I i tvivl om, hvilke API-konti der findes eller har adgang til plugin-koden, bør I få en teknisk gennemgang af jeres Grav CMS-opsætning.