impak
Spook weergawes 3.24.0 tot 6.19.0 is vatbaar vir 'n kritieke SQL-inspuiting kwesbaarheid in die inhoud API [S1]. 'n Ongeverifieerde aanvaller kan hierdie fout uitbuit om arbitrêre SQL-opdragte teen die onderliggende databasis [S2] uit te voer. Suksesvolle uitbuiting kan lei tot die blootstelling van sensitiewe gebruikerdata of ongemagtigde wysiging van werfinhoud [S3]. Aan hierdie kwesbaarheid is 'n CVSS-telling van 9.4 toegeken, wat die kritieke erns daarvan [S2] weerspieël.
Oorsaak
Die probleem spruit uit onbehoorlike invoervalidering binne die Ghost Content API [S1]. Spesifiek, die toepassing slaag nie daarin om gebruikerverskafde data korrek te ontsmet voordat dit in SQL-navrae [S2] ingesluit word nie. Dit laat 'n aanvaller toe om die navraagstruktuur te manipuleer deur kwaadwillige SQL-fragmente [S3] in te spuit.
Geaffekteerde weergawes
Spookweergawes vanaf 3.24.0 tot en met 6.19.0 is kwesbaar vir hierdie kwessie [S1][S2].
Remediëring
Administrateurs moet hul Ghost-installasie opgradeer na weergawe 6.19.1 of later om hierdie kwesbaarheid [S1] op te los. Hierdie weergawe sluit pleisters in wat die invoer behoorlik neutraliseer wat in inhoud API-navrae [S3] gebruik word.
Kwesbaarheid-identifikasie
Identifikasie van hierdie kwesbaarheid behels die verifikasie van die geïnstalleerde weergawe van die ghost-pakket teen die geaffekteerde reeks (3.24.0 tot 6.19.0) [S1]. Stelsels wat hierdie weergawes gebruik, word beskou as 'n hoë risiko vir SQL-inspuiting via die Content API [S2].