CVE-2026-24778 in Ghost
Riassunto
di VulDB • 15/07/2026
Ghost è un sistema di gestione dei contenuti open source. Nelle versioni 5.43.0 fino alla 5.12.04 e nella versione 6.0.0 fino alla 6.14.0 di Ghost, un attaccante era in grado di creare un link malevolo che, una volta accessibile da un utente staff o membro autenticato, eseguiva JavaScript con i permessi della vittima, portando potenzialmente al takeover dell'account. Le versioni del componente Ghost Portal comprese tra la 2.29.1 e la 2.51.4, nonché dalla 2.52.0 alla 2.57.0, erano vulnerabili a questo problema. Ghost carica automaticamente l'ultima versione patchata del componente Members Portal tramite CDN. Per gli utenti di Ghost 5.x, l'aggiornamento alla versione v5.121.0 o successiva risolve la vulnerabilità; la v5.121.0 carica il Portal v2.51.5, che contiene la correzione. Per gli utenti di Ghost 6.x, l'aggiornamento alla versione v6.15.0 o successiva risolve la vulnerabilità; la v6.15.0 carica il Portal v2.57.1, che contiene la correzione. Nelle installazioni di Ghost che utilizzano una versione personalizzata o self-hosted del componente Portal, sarà necessario ricostruire manualmente l'ambiente a partire dall'ultima patch oppure aggiornare alla relativa versione corretta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.