Covered by FixVibecritical

. SQL-innspræning í spøkilsi innihaldi ZXCVFIXVIBESEND ZXCVFIXVIBESEG1. Ghost útgávurnar 3.24.0 til 6.19.0 eru viðbreknar fyri kritiskari SQL-innspræning í Innihaldinum API (CVE-2026-26980), sum ger tað møguligt at fáa óautentiseraða dátuatgongd. ZXCVFIXVIBESEND ZXCVFIXVIBESEG2. Ghost útgávurnar 3.24.0 til og við 6.19.0 innihalda ein kritiskan SQL-injektións sárbarleika í Innihaldinum CVE-2026-26980. Hetta ger, at ógóðkendir álopsmenn kunnu útføra viljaleysar SQL-skipanir, sum møguliga føra til dátuútfiltrering ella óheimilaðar broytingar. ZXCVFIXVIBESEND ZXCVFIXVIBESEG3. ## Ávirkan ZXCVFIXVIBESEND ZXCVFIXVIBESEG4. Ghost útgávurnar 3.24.0 til og við 6.19.0 eru viðkvæmar fyri einum kritiskum SQL-injektiónssárbarleika í Innihaldinum. Ein óautentiseraður álopsmaður kann nýta hendan feilin til at útføra viljaleysar SQL skipanir móti undirliggjandi dátugrunninum API. Eydnusom útnytting kann hava við sær, at viðkvæmar brúkaradátur verða avdúkaðar ella ólóglig broyting av síðuninnihaldinum ZXCVFIXVIBETOKEN2ZXCV. Hesin sárbarleikin hevur fingið eitt CVSS-stig uppá 9,4, sum endurspegla hansara kritisku álvarsemi ZXCVFIXVIBETOKEN3ZXCV. ZXCVFIXVIBESEND ZXCVFIXVIBESEG5. ## Rótorsøk ZXCVFIXVIBESEND ZXCVFIXVIBESEG6. Málið stavar frá óhóskandi input-validering innan Ghost-innihaldið. Serliga sleppur forritið ikki at sanitera dátur, sum brúkarin hevur veitt, rætt, áðrenn tað verður innlimað í SQL-fyrispurningar API. Hetta ger, at ein álopsmaður kann manipulera fyrispurningsbygnaðin við at sprayta illgrunasamar SQL-brot inn ZXCVFIXVIBETOKEN2ZXCV. ZXCVFIXVIBESEND ZXCVFIXVIBESEG7. ## Ávirkaðar útgávur ZXCVFIXVIBESEND ZXCVFIXVIBESEG8. Spøkilsisútgávur, sum byrja frá 3.24.0 upp til og við 6.19.0, eru viðbreknar fyri hesum málinum. ZXCVFIXVIBESEND ZXCVFIXVIBESEG9. ## Tilbúgving ZXCVFIXVIBESEND ZXCVFIXVIBESEG10 Umsitarar skulu dagføra sína Ghost uppseting til útgávu 6.19.1 ella seinni fyri at loysa hendan sárbarleikan CVE-2026-26980. Henda útgávan inniheldur plástur, sum rætt neutralisera input, sum verður nýtt í Innihald ZXCVFIXVIBETOKEN2ZXCV fyrispurningum API. ZXCVFIXVIBESEND ZXCVFIXVIBESEG11 ## Eyðmerking av sárbarleika ZXCVFIXVIBESEND ZXCVFIXVIBESEG12 At eyðmerkja hendan sárbarleikan fevnir um at kanna uppsettu útgávuna av CVE-2026-26980 pakkanum móti ávirkaða økinum (3.24.0 til 6.19.0) API. Skipanir, sum koyra hesar útgávur, verða mettar at vera í stórum vanda fyri SQL-injektión umvegis Innihaldið ZXCVFIXVIBETOKEN3ZXCV ZXCVFIXVIBETOKEN2ZXCV.

Ghost versions 3.24.0 through 6.19.0 contain a critical SQL injection vulnerability in the Content API. This allows unauthenticated attackers to execute arbitrary SQL commands, potentially leading to data exfiltration or unauthorized modifications.

CVE-2026-26980GHSA-w52v-v783-gw97CWE-89

Impact

Ghost versions 3.24.0 through 6.19.0 are susceptible to a critical SQL injection vulnerability in the Content API [S1]. An unauthenticated attacker can exploit this flaw to execute arbitrary SQL commands against the underlying database [S2]. Successful exploitation could result in the exposure of sensitive user data or unauthorized modification of site content [S3]. This vulnerability has been assigned a CVSS score of 9.4, reflecting its critical severity [S2].

Root Cause

The issue stems from improper input validation within the Ghost Content API [S1]. Specifically, the application fails to correctly sanitize user-supplied data before incorporating it into SQL queries [S2]. This allows an attacker to manipulate the query structure by injecting malicious SQL fragments [S3].

Affected Versions

Ghost versions starting from 3.24.0 up to and including 6.19.0 are vulnerable to this issue [S1][S2].

Remediation

Administrators should upgrade their Ghost installation to version 6.19.1 or later to resolve this vulnerability [S1]. This version includes patches that properly neutralize input used in Content API queries [S3].

Vulnerability Identification

Identification of this vulnerability involves verifying the installed version of the ghost package against the affected range (3.24.0 to 6.19.0) [S1]. Systems running these versions are considered at high risk for SQL injection via the Content API [S2].