CVE-2026-22595

HIGH CVSS 3.1: 8,1 EPSS 0.04%
Обновлено 15 января 2026
Ghost
Параметр Значение
CVSS 8,1 (HIGH)
Уязвимые версии 5.121.0 — 6.11.0
Устранено в версии 5.130.6
Тип уязвимости CWE-863 (Неправильная авторизация)
Поставщик Ghost
Публичный эксплойт Нет

Ghost — это система управления контентом Node.js. В версиях с 5.121.0 по 5.130.5 и с 6.0.0 по 6.10.3 уязвимость в обработке Ghost аутентификации токена персонала позволяла получить доступ к определенным конечным точкам, которые должны были быть доступны только через аутентификацию сеанса персонала. Внешние системы, прошедшие аутентификацию с помощью токенов персонала для пользователей с ролью администратора/владельца, имели бы доступ к этим конечным точкам.

Эта проблема исправлена ​​в версиях 5.130.6 и 6.11.0.

Показать оригинальное описание (EN)

Ghost is a Node.js content management system. In versions 5.121.0 through 5.130.5 and 6.0.0 through 6.10.3, a vulnerability in Ghost's handling of Staff Token authentication allowed certain endpoints to be accessed that were only intended to be accessible via Staff Session authentication. External systems that have been authenticated via Staff Tokens for Admin/Owner-role users would have had access to these endpoints. This issue has been patched in versions 5.130.6 and 6.11.0.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v3.1

Уязвимые продукты 2

Конфигурация От (включительно) До (исключительно)
Ghost Ghost
cpe:2.3:a:ghost:ghost:*:*:*:*:*:node.js:*:*
5.121.0 5.130.6
Ghost Ghost
cpe:2.3:a:ghost:ghost:*:*:*:*:*:node.js:*:*
6.0.0 6.11.0