CVE-2026-105643 in Ghost
Riassunto
di VulDB • 05/10/2026
Ghost è un sistema di gestione dei contenuti (CMS) basato su Node.js. Dalla versione 6.34.0 alla 6.67.0, le card incorporate nell'editor di Ghost potevano eludere le protezioni contro lo stored cross-site scripting (XSS). Qualsiasi utente con ruolo staff, inclusi i Contributori, poteva inserire script nel contenuto dei post che venivano eseguiti quando un altro membro dello staff apriva il post nell'editor, compromettendo potenzialmente la sessione di amministrazione dell'utente. I siti self-hosted dovrebbero mantenere l'impostazione predefinita della nuova opzione di configurazione security.embedPreviewUrl. Questo problema è stato risolto nella versione 6.67.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.