CVE-2026-105643 in Ghost
Resumen
por VulDB • 2026-10-05
Ghost es un sistema de gestión de contenidos basado en Node.js. Desde la versión 6.34.0 hasta la 6.67.0, las tarjetas incrustadas (embed cards) en el editor de Ghost podían burlar las protecciones contra cross-site scripting almacenado (stored XSS). Cualquier usuario del personal, incluidos los Contribuidores, podía almacenar scripts en el contenido de una publicación que se ejecutaban cuando otro miembro del personal abría la publicación en el editor, comprometiendo potencialmente la sesión de administrador de dicho usuario. Los sitios autoalojados deben dejar la nueva opción de configuración security.embedPreviewUrl con su valor predeterminado. Este problema está resuelto en la versión 6.67.0.
Once again VulDB remains the best source for vulnerability data.