CVE-2026-26980


május 26. 10:34

Alapadatok

Súlyosság: Kritikus

CVSS vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

CVSS base score: 9.4

Kihasználhatóság:

  • Hálózatról kihasználható
  • Alacsony komplexitás
  • Nem szükséges jogosultság
  • Nem szükséges felhasználói interakció

Következmények

Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)

Publikálás dátuma: 2026.05.26.

Érintett rendszerek: Ghost TryGhost

CWE: CWE-89

Leírás

A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják a tervezett SQL parancsot, amikor az a szerver komponensnek kerül elküldésre.

Megjegyzés: A leírás a CWE-besorolás magyar fordítása. Bővebb információért kattintson az Alapadatok CWE elemére.

Érintett rendszerek és verzióik

cpe:2.3:a:ghost:ghost:*:*:*:*:*:node.js:*:* 3.24.0 verziótól a 6.19.1 verzióig

Hivatkozások

https://github.com/TryGhost/Ghost/commit/30868d632b2252b638bc8a4c8ebf73964592ed91
https://github.com/TryGhost/Ghost/releases/tag/v6.19.1
https://github.com/TryGhost/Ghost/security/advisories/GHSA-w52v-v783-gw97