CVE-2026-75837: Kritisk rettighedsfejl i Grav CMS

CVE-2026-75837 er en sårbarhed i indholdsstyringssystemet Grav CMS. Fejlen ligger i den såkaldte blueprint, en skabelon der styrer, hvilke felter en administrator må redigere for en brugergruppe. Grav CMS glemmer at beskytte det felt, der afgør, om en gruppe har super-admin-rettigheder. Det betyder, at en administrator med den mere begrænsede rolle admin.users, som normalt kun må oprette og redigere almindelige brugere, kan gemme en gruppe med adgangsfeltet access[admin][super]=true og dermed selv blive super-admin. Som super-admin får angriberen adgang til Gravs planlægningsfunktion og til at køre Twig-skabelonkode, et sprog Grav bruger til at generere sideindhold. Twig-evaluering kan misbruges til at køre vilkårlig kode på serveren.

Sårbarheden rammer alle, der kører Grav CMS i en version før 2.0.14, med admin-panelet aktiveret og med mindst én bruger, der har den delegerede rolle admin.users uden fuld super-admin-adgang. Det er typisk mellemstore virksomheder, foreninger og kommuner, der bruger Grav som flad-fil CMS til deres hjemmeside, og som lader flere medarbejdere eller eksterne redaktører administrere brugere i systemet.

En bruger, der kun skulle kunne administrere almindelige brugere, kan ophøje sig selv til super-admin uden at nogen godkender det. Derfra kan vedkommende bruge Gravs Twig-evaluering til at køre vilkårlig kode på serveren, hvilket i praksis svarer til fuld overtagelse af hjemmesiden og den bagvedliggende server. Det åbner for dataudtræk, indsættelse af skadelig kode på siden, aflytning af besøgende eller kryptering af serveren med gidselsoftware. Angrebet kræver ingen handling fra almindelige brugere eller besøgende på siden.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet foregår over netværket og kræver ikke, at nogen klikker på noget eller godkender en handling. Til gengæld kræver det, at angriberen allerede har et gyldigt login med rollen admin.users, altså en form for delegeret administratoradgang. Det gør sårbarheden særligt relevant, hvis I har flere administratorer, eksterne bureauer eller tidligere medarbejdere med stadig aktive konti. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes, men der er heller ingen offentligt kendt afprøvningskode.

Sådan lukker I hullet og begrænser risikoen, i den rækkefølge det giver mening:

1. Opdatér Grav CMS til version 2.0.14 eller nyere. Det retter selve fejlen i adgangskontrollen.
2. Gennemgå alle admin-konti, og fjern admin.users-rettigheden fra brugere, der ikke aktivt har brug for den, herunder tidligere medarbejdere og bureauer.
3. Tjek admin-loggen for uventede ændringer i gruppe- eller adgangsindstillinger foretaget før opdateringen.
4. Skift adgangskoder for alle administratorer, hvis I finder mistænkelig aktivitet i loggen.
5. Kontakt jeres CMS-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan opdatere systemet eller er i tvivl om, hvorvidt det allerede er kompromitteret.