CVE-2026-65007: Kritisk fejl i Grav api-plugin
Grav-pluginet api før version 1.0.8 lader enhver bruger med admin-login forfalske API-nøgler til andre konti. Opdatér til 1.0.8.
Hvad er det?
CVE-2026-65007 er en sårbarhed i api-pluginet til Grav, et content management system (CMS) der bruges til at bygge og drive hjemmesider. Pluginet styrer, hvem der kan oprette og tilbagekalde API-nøgler, som giver adgang til hjemmesidens data uden om det normale login. Fejlen betyder, at pluginet godkender handlingen for tidligt, før det egentlige rettighedssystem (ACL, access control list) når at tjekke, om brugeren faktisk må gøre det. Derfor kan enhver bruger, der blot har den mest grundlæggende adgang til admin-panelet, oprette en API-nøgle bundet til en helt anden konto, herunder en administratorkonto. Den forfalskede nøgle overtager målkontoens rettigheder fuldt ud.
Hvem rammer det?
Sårbarheden rammer alle hjemmesider, der kører Grav CMS med api-pluginet (grav-plugin-api) installeret i en version ældre end 1.0.8. Det gælder typisk danske virksomheder, foreninger og kommuner, der har valgt Grav som en let og filbaseret platform til hjemmeside eller intranet, og som har aktiveret API-adgang til integrationer, fx formularer, nyhedsbreve eller tredjepartstjenester.
Hvad kan ske?
En bruger med den laveste adgangsrettighed i admin-panelet kan udstede en API-nøgle, der giver samme rettigheder som en administrator eller en anden konto med bred adgang. I praksis betyder det, at en almindelig redaktør, eller en angriber der har overtaget en sådan konto, kan overtage hele hjemmesiden, ændre indhold, hente data ud eller oprette nye administratorkonti. Angrebet kræver ikke, at nogen klikker på noget eller godkender en handling.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket med lav kompleksitet. Det kræver kun lave rettigheder, altså en almindelig brugerkonto med adgang til admin-panelet, og ingen brugerhandling fra offeret. Fortrolighed og integritet vurderes til høj påvirkning, mens tilgængelighed ikke påvirkes direkte. Der er ikke offentligt kendte tilfælde af aktivt misbrug på offentliggørelsesdatoen, men fejlen er enkel at udnytte, når man kender detaljerne.
Hvad gør jeg nu?
Det vigtigste er at opdatere pluginet, så adgangskontrollen igen fungerer korrekt.
- Opdatér api-pluginet (grav-plugin-api) til version 1.0.8 eller nyere på alle Grav-installationer.
- Gennemgå listen over eksisterende API-nøgler, og tilbagekald nøgler, I ikke kan forklare oprindelsen af.
- Kontrollér, hvilke konti der har admin.login-rettigheden, og fjern admin-panel-adgang for konti, der ikke har brug for det.
- Gennemgå logfiler for uventet API-nøgleoprettelse eller -tilbagekaldelse i perioden op til opdateringen.
- Skift adgangskoder på konti med brede API-rettigheder, hvis I finder tegn på misbrug.
- Kontakt en it-sikkerhedsrådgiver, hvis I finder tegn på misbrug, eller hvis I ikke selv kan verificere, at opdateringen er installeret korrekt.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer api-pluginet til version 1.0.8 så hurtigt som muligt, da sårbarheden er let at udnytte og kun kræver den mest grundlæggende adgang. Det er kun forsvarligt at vente, hvis pluginet ikke er aktiveret, eller hjemmesiden ikke har eksterne brugerkonti med adgang til admin-panelet. I alle andre tilfælde bør opdateringen prioriteres, så snart den kan installeres.
Tidslinje
Konkrete eksempler
Redaktør får administratoradgang
En dansk kommune bruger Grav CMS til sin hjemmeside og har givet en kommunikationsmedarbejder en almindelig redaktørkonto med adgang til admin-panelet. Med den sårbare version af api-pluginet kan medarbejderen, eller en angriber der har overtaget medarbejderens konto, oprette en API-nøgle bundet til it-afdelingens administratorkonto. Nøglen giver fuld adgang til at ændre indhold, hente borgerdata ud og oprette nye administratorer, uden at nogen skal godkende handlingen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-65007?
I er ramt, hvis jeres hjemmeside kører Grav CMS med api-pluginet installeret i en version ældre end 1.0.8. Tjek plugin-listen i admin-panelet eller filen for pluginets versionsnummer.
Hvordan tjekker vi, hvilken version af pluginet vi bruger?
Log ind i Grav’s admin-panel, gå til plugin-oversigten, og find api-pluginet. Versionsnummeret står ved siden af pluginets navn. Alternativt kan I finde det i pluginets blueprint-fil på serveren.
Kan vi vente med at opdatere til i weekenden?
Det afhænger af, om admin-panelet er tilgængeligt for flere brugere end de mest betroede. Har I flere konti med adgang, bør opdateringen ske samme dag, da fejlen er nem at udnytte for enhver bruger med den mest grundlæggende login-rettighed.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata er blevet tilgået eller ændret uretmæssigt. Ren opdatering af et hul, der ikke er misbrugt, kræver ikke anmeldelse.
Hvad gør vi, hvis vi finder mistænkelige API-nøgler?
Tilbagekald nøglen med det samme, undersøg hvilken konto den var bundet til, og skift adgangskode på den konto. Gennemgå derefter logfilerne for at se, hvad nøglen har været brugt til.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af aktivt misbrug på offentliggørelsesdatoen. Det ændrer ikke ved, at fejlen bør rettes, fordi den er enkel at udnytte, når detaljerne er kendte.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Grav api plugin (grav-plugin-api) before 1.0.8 fails to properly authorize API key generation and revocation: the plugin intercepts the apiKeyGenerate/apiKeyRevoke admin tasks before the account-management ACL runs and authorizes the caller on only the admin.login permission (the baseline permission held by every panel user). This allows any user with admin.login to mint a persistent API key bound to any account, and the forged key inherits the target account’s API permissions. On installs where an API-enabled account holds broader permissions, this enables account impersonation and privilege escalation up to account takeover.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.