##Impact Les versions Ghost 3.24.0 à 6.19.0 sont sensibles à une vulnérabilité critique d'injection SQL dans le contenu API [S1]. Un attaquant non authentifié peut exploiter cette faille pour exécuter des commandes SQL arbitraires sur la base de données sous-jacente [S2]. Une exploitation réussie pourrait entraîner l'exposition de données utilisateur sensibles ou une modification non autorisée du contenu du site [S3]. Cette vulnérabilité s'est vu attribuer un score CVSS de 9,4, reflétant sa gravité critique [S2].
Cause première
Le problème provient d'une validation d'entrée incorrecte dans Ghost Content API [S1]. Plus précisément, l'application ne parvient pas à nettoyer correctement les données fournies par l'utilisateur avant de les incorporer dans les requêtes SQL [S2]. Cela permet à un attaquant de manipuler la structure de la requête en injectant des fragments SQL malveillants [S3].
Versions concernées
Les versions Ghost à partir de 3.24.0 jusqu'à 6.19.0 inclus sont vulnérables à ce problème [S1][S2].
Correction
Les administrateurs doivent mettre à niveau leur installation Ghost vers la version 6.19.1 ou une version ultérieure pour résoudre cette vulnérabilité [S1]. Cette version inclut des correctifs qui neutralisent correctement les entrées utilisées dans les requêtes de contenu API [S3].
Identification des vulnérabilités
L'identification de cette vulnérabilité implique la vérification de la version installée du package ghost par rapport à la plage affectée (3.24.0 à 6.19.0) [S1]. Les systèmes exécutant ces versions sont considérés comme présentant un risque élevé d'injection SQL via le contenu API [S2].