PT-2025-37860 · Ghost · Ghost

Cristian Vargas · Publicado 2025-09-15 · Atualizado 2026-02-24 · CVE-2025-9862

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Ghost 5.99.0 até 5.130.3 Versões do Ghost 6.0.0 até 6.0.8

Descrição Existe uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor (SSRF) no Ghost que permite a um invasor acessar recursos internos. A vulnerabilidade está presente no mecanismo oEmbed do Ghost e permite que usuários da equipe exfiltrem dados de sistemas internos via SSRF.

Recomendações Atualize para a versão 5.130.4 do Ghost ou posterior. Atualize para a versão 6.0.9 do Ghost ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BIT-GHOST-2025-9862

CVE-2025-9862

GHSA-F7QG-XJ45-W956

Produtos afetados

Ghost

Referências · 16

• 🔥 https://fluidattacks.com/advisories/regida · Exploit
• https://github.com/TryGhost/Ghost · Nota
• https://github.com/TryGhost/Ghost/security/advisories/GHSA-f7qg-xj45-w956 · Aviso do Fabricante
• https://github.com/TryGhost/Ghost/releases/tag/v6.0.9 · Correção
• https://github.com/TryGhost/Ghost/commit/01d64c7c0ffbf90cd036195c60ded6d08077d612 · Nota
• https://github.com/TryGhost/Ghost/commit/ffe9d079afa68557c581d224f1ff126e625b06e3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-9862 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-f7qg-xj45-w956 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1968342026585256371 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1968349090640732540 · Publicação no Twitter
• https://t.me/cveNotify/153035 · Publicação no Telegram
• https://twitter.com/fluidattacks/status/1975508651021332657 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-ghost-2025-9862 · Aviso do Fabricante
• https://help.fluidattacks.com/portal/en/kb/articles/regida · Nota
• https://t.me/CVEtracker/32765 · Publicação no Telegram