PT-2026-2218 · Ghost · Ghost

Odgrso · CVE-2026-22596 · Publicado 2026-01-08 · Atualizado 2026-01-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Ghost 5.90.0 até 5.130.5 Versões do Ghost 6.0.0 até 6.10.3

Descrição O Ghost é um sistema de gerenciamento de conteúdo em Node.js. Uma falha no endpoint da API /ghost/api/admin/members/events permite que usuários autenticados da API de Admin executem consultas SQL arbitrárias. A vulnerabilidade existe devido à validação de entrada insuficiente ao processar solicitações para este endpoint. A função admin é necessária para a exploração.

Recomendações Atualize para a versão 5.130.6 ou posterior do Ghost. Atualize para a versão 6.11.0 ou posterior do Ghost.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BIT-GHOST-2026-22596

CVE-2026-22596

GHSA-GJRP-XGMH-X9QQ

Produtos afetados

Ghost

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22596.json · Exploit
• https://github.com/TryGhost/Ghost · Nota
• https://github.com/TryGhost/Ghost/security/advisories/GHSA-gjrp-xgmh-x9qq · Aviso do Fabricante
• https://github.com/TryGhost/Ghost/commit/f2165f968bcdaae0e35590b38fa280ab03239391 · Correção
• https://github.com/TryGhost/Ghost/commit/cda236e455a7a30e828b6cba3c430e5796ded955 · Correção
• https://twitter.com/CVEnew/status/2009837426433204551 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gjrp-xgmh-x9qq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-22596 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22596 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-ghost-2026-22596 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2009912796276797746 · Publicação no Twitter