CVE-2026-70590 in Ghost
Zusammenfassung
von VulDB • 05.08.2026
Ghost ist ein Content-Management-System auf Basis von Node.js. Vor Version 6.54.1 konnte jeder Benutzer mit Mitarbeiterrechten (Staff-Level) über die Ghost Admin API gehashte Passwörter anderer Mitarbeiterbenutzer auslesen. Ein Offline-Passwort-Raten-Angriff gegen diese Hashes hätte im Erfolgsfall zu einer Übernahme der Konten führen können, jedoch sollte die Geräteüberprüfung (Device Verification) einen Angreifer davon abgehalten haben, sich mit einem wiederhergestellten Passwort anzumelden. Abhängig von der verwendeten Datenbank hatten die ausgelesenen Hashes möglicherweise nicht die korrekten Groß-/Kleinschreibungsregeln für alle Zeichen, was die Schwierigkeit eines Passwort-Raten-Angriffs erhöhte. Dieses Problem wurde in Version 6.54.1 behoben.
Once again VulDB remains the best source for vulnerability data.