CVE-2022-28397

Ghost CMS: Arbitrary File Upload umożliwiający wykonanie kodu (RCE)

CVSS 9.8v3.1pub. 2022-04-12upd. 2026-07-09

W Ghost CMS v4.42.0 zidentyfikowano podatność typu arbitrary file upload w module przesyłania plików, pozwalającą na wykonanie dowolnego kodu na serwerze. Podatność jest oceniana jako krytyczna (CVSS 9.8), jednak producent wskazuje, że upload plików jest dostępny wyłącznie dla zaufanych użytkowników.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the file upload module of Ghost CMS v4.42.0 allows attackers to execute arbitrary code via a crafted file. NOTE: Vendor states as detailed in Ghost's security documentation, files can only be uploaded and published by trusted users, this is intentional.

🤖 Analiza AI

Jak działa

Atakujący z uprawnieniami do przesyłania plików w panelu Ghost CMS może wgrać spreparowany plik (crafted file) za pośrednictwem modułu upload. Przesłany plik może następnie zostać wykonany po stronie serwera, prowadząc do zdalnego wykonania kodu (RCE). Mechanizm oparty jest na podatności CWE-434, czyli braku odpowiedniej walidacji i ograniczeń typów przesyłanych plików.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu na serwerze (RCE), co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad systemem, naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo warto ograniczyć dostęp do panelu administracyjnego Ghost CMS wyłącznie do zaufanych użytkowników oraz monitorować przesyłane pliki. Producent wskazuje, że zgodnie z dokumentacją bezpieczeństwa Ghost, upload i publikacja plików jest z założenia ograniczona do zaufanych użytkowników.

Kogo dotyczy

Ghost CMS v4.42.0

Uwagi

Producent (Ghost) zakwestionował klasyfikację tej podatności jako błędu bezpieczeństwa, argumentując że możliwość przesyłania plików jest celową funkcją ograniczoną do zaufanych użytkowników, co jest udokumentowane w oficjalnej dokumentacji bezpieczeństwa Ghost. Ocena ryzyka powinna uwzględniać model zaufania stosowany w danej instalacji.