Poveikis
Ghost versions 3.24.0 through 6.19.0 are susceptible to a critical SQL injection vulnerability in the Content API [S1]. Neautentifikuotas užpuolikas gali pasinaudoti šia klaida ir vykdyti savavališkas SQL komandas pagrindinėje duomenų bazėje [S2]. Sėkmingas naudojimas gali sukelti neskelbtinų naudotojų duomenų atskleidimą arba neleistiną svetainės turinio pakeitimą [S3]. Šiam pažeidžiamumui buvo priskirtas 9,4 CVSS balas, atspindintis jo kritinį sunkumą [S2].
Pagrindinė priežastis
Problema kyla dėl netinkamo įvesties patvirtinimo Ghost Content API [S1]. Tiksliau, programa nesugeba tinkamai išvalyti vartotojo pateiktų duomenų prieš įtraukdama juos į SQL užklausas [S2]. Tai leidžia užpuolikui manipuliuoti užklausos struktūra įterpiant kenkėjiškus SQL fragmentus [S3].
Paveiktos versijos
Vaiduoklių versijos nuo 3.24.0 iki 6.19.0 imtinai yra pažeidžiamos dėl šios problemos [S1][S2].
Ištaisymas
Administratoriai turėtų atnaujinti „Ghost“ diegimą į 6.19.1 arba naujesnę versiją, kad pašalintų šią pažeidžiamumą [S1]. Šioje versijoje yra pataisų, kurios tinkamai neutralizuoja įvestį, naudojamą turinio API užklausose [S3].
Pažeidžiamumo identifikavimas
Identification of this vulnerability involves verifying the installed version of the ghost package against the affected range (3.24.0 to 6.19.0) [S1]. Manoma, kad sistemoms, kuriose veikia šios versijos, kyla didelė SQL įterpimo per turinį API [S2] rizika.