CVE-2026-26980

Ghost CMS: nieuwierzytelniony odczyt bazy danych przez SQL injection

CVSS 9.4v3.1pub. 2026-02-20upd. 2026-05-26

Podatność w systemie zarządzania treścią Ghost (Node.js) w wersjach 3.24.0–6.19.0 umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnych odczytów z bazy danych. Zagrożenie jest krytyczne, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika.

▸ Pokaż oryginał (EN)

Ghost is a Node.js content management system. Versions 3.24.0 through 6.19.0 allow unauthenticated attackers to perform arbitrary reads from the database. This issue has been fixed in version 6.19.1.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-89 (SQL injection) pozwala atakującemu na wstrzyknięcie złośliwych zapytań SQL do bazy danych aplikacji Ghost bez konieczności posiadania jakiegokolwiek konta lub sesji. Atakujący może wysyłać spreparowane żądania bezpośrednio do instancji Ghost i odczytywać dowolne dane przechowywane w bazie. Brak mechanizmu uwierzytelnienia jako warunek wstępny (Auth Bypass) sprawia, że atak jest możliwy do przeprowadzenia zdalnie przez sieć z niską złożonością.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, takich jak dane użytkowników, tokeny sesji czy treści niepublikowane, a także potencjalnie modyfikować dane w bazie, co stanowi poważne naruszenie poufności i integralności systemu.

Mitygacja

Należy zaktualizować Ghost do wersji 6.19.1 lub nowszej, w której podatność została naprawiona. Patch dostępny jest w repozytorium producenta (GitHub TryGhost/Ghost, release v6.19.1).

Kogo dotyczy

Ghost (Node.js CMS) w wersjach od 3.24.0 do 6.19.0 włącznie.

Uwagi

Poprawka została wprowadzona w commicie 30868d632b2252b638bc8a4c8ebf73964592ed91 w repozytorium GitHub TryGhost/Ghost. Szczegóły podatności opisano w security advisory GHSA-w52v-v783-gw97.