Covered by FixVibecritical

ЗКСЦВФИКСВИБЕСЕГ0 СКЛ ињекција у духовни садржај ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ) ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ1 Гхост верзије од 3.24.0 до 6.19.0 су рањиве на критичну СКЛ ињекцију у садржај ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ), омогућавајући неауторизован приступ подацима. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ2 Гхост верзије од 3.24.0 до 6.19.0 садрже критичну рањивост СКЛ ињекције у садржају ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Ово омогућава неауторизованим нападачима да извршавају произвољне СКЛ команде, што потенцијално доводи до ексфилтрације података или неовлашћених модификација. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ3 ## Импацт ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ4 Гхост верзије од 3.24.0 до 6.19.0 су подложне критичној рањивости СКЛ ињекције у садржају ЗКСЦВФИКСВИБЕТОКЕН4ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Нападач без аутентификације може да искористи ову грешку да изврши произвољне СКЛ команде против основне базе података ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Успешна експлоатација може довести до излагања осетљивих корисничких података или неовлашћене измене садржаја сајта ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. Овој рањивости је додељен ЦВСС резултат од 9,4, што одражава њену критичну озбиљност ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ5 ## Основни узрок ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ6 Проблем потиче од неправилне валидације уноса унутар Гхост садржаја ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Конкретно, апликација не успева да исправно очисти податке које је доставио корисник пре него што их угради у СКЛ упите ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Ово омогућава нападачу да манипулише структуром упита убацивањем злонамерних СКЛ фрагмената ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ7 ## Захваћене верзије ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ8 Гхост верзије почевши од 3.24.0 до и укључујући 6.19.0 су рањиве на овај проблем ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ9 ## Ремедијација ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ10 Администратори би требало да надограде своју Гхост инсталацију на верзију 6.19.1 или новију да би решили ову рањивост ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Ова верзија укључује закрпе које правилно неутралишу унос који се користи у упитима садржаја ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ11 ## Идентификација рањивости ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ12 Идентификација ове рањивости укључује верификацију инсталиране верзије пакета ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ у односу на захваћени опсег (3.24.0 до 6.19.0) ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Системи који користе ове верзије се сматрају под високим ризиком за СКЛ ињекцију преко садржаја ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ.

Ghost versions 3.24.0 through 6.19.0 contain a critical SQL injection vulnerability in the Content API. This allows unauthenticated attackers to execute arbitrary SQL commands, potentially leading to data exfiltration or unauthorized modifications.

CVE-2026-26980GHSA-w52v-v783-gw97CWE-89

Impact

Ghost versions 3.24.0 through 6.19.0 are susceptible to a critical SQL injection vulnerability in the Content API [S1]. An unauthenticated attacker can exploit this flaw to execute arbitrary SQL commands against the underlying database [S2]. Successful exploitation could result in the exposure of sensitive user data or unauthorized modification of site content [S3]. This vulnerability has been assigned a CVSS score of 9.4, reflecting its critical severity [S2].

Root Cause

The issue stems from improper input validation within the Ghost Content API [S1]. Specifically, the application fails to correctly sanitize user-supplied data before incorporating it into SQL queries [S2]. This allows an attacker to manipulate the query structure by injecting malicious SQL fragments [S3].

Affected Versions

Ghost versions starting from 3.24.0 up to and including 6.19.0 are vulnerable to this issue [S1][S2].

Remediation

Administrators should upgrade their Ghost installation to version 6.19.1 or later to resolve this vulnerability [S1]. This version includes patches that properly neutralize input used in Content API queries [S3].

Vulnerability Identification

Identification of this vulnerability involves verifying the installed version of the ghost package against the affected range (3.24.0 to 6.19.0) [S1]. Systems running these versions are considered at high risk for SQL injection via the Content API [S2].