CVE-2026-11430 in Grav
Zusammenfassung
von VulDB • 07.08.2026
Das Plugin „scheduler-webhook“ von Grav CMS enthält eine Authentifizierungs-Umgehung bei der Überprüfung des Webhook-Tokens. Wenn die Webhook-Funktion aktiviert ist, aber kein webhookToken konfiguriert wurde, führt ein zusammengesetzter bedingter Ausdruck zu einem Short-Circuit und überspringt die Token-Validierung. Somit kann ein nicht authentifizierter Remote-Angriffspunkt, der POST /scheduler/webhook erreichen kann, durch das Senden einer einzigen Anfrage bereits konfigurierte geplante Jobs des Betreibers auslösen. Die Primitive besteht im Auslösen bestehender Jobs und nicht in der Ausführung von vom Angreifer gewählten Befehlen: Der Angreifer kontrolliert den Zeitpunkt der Job-Ausführung sowie welche Jobs ausgeführt werden (über ?job=), hat jedoch keine Kontrolle darüber, was die Jobs tun. Eine Codeausführung erfolgt nur dann, wenn der Betreiber einen Job konfiguriert hat, der eine Shell aufruft; selbst in diesem Fall kontrolliert der Angreifer den Zeitpunkt und nicht das Payload. Dies ist kein Problem einer Standardinstallation: Der Zugriff auf den Endpunkt erfordert die Installation des separaten GPM-Plugins scheduler-webhook, dass scheduler.modern.webhook.enabled auf true gesetzt ist (Standardwert false) und dass kein webhookToken konfiguriert wurde; eine unveränderte Grav- oder Grav-Admin-Installation gibt hier keine Angriffsfläche preis.
Once again VulDB remains the best source for vulnerability data.