شناسه CVE-2026-26980 :CVE
CWE-89 :CWE
yes :Advisory
منتشر شده: فوریه 20, 2026
به روز شده: فوریه 20, 2026
امتیاز: 9.4
نوع حمله: SQL Injection

اثر گذاری: Information Disclosure
حوزه: سیستم مدیریت محتوا
برند: Ghost Foundation
محصول: Ghost CMS
وضعیتPublished :CVE
Yes :POC
وضعیت آسیب پذیری: patch شده

چکیده

یک آسیب‌پذیری بحرانی در سامانه Ghost CMS شناسایی شده است که امکان اجرای حمله SQL Injection را از طریق Content API فراهم می‌کند. این ضعف به مهاجم غیرمجاز اجازه می‌دهد بدون نیاز به احراز هویت، به داده‌های پایگاه داده دسترسی پیدا کرده و اطلاعات حساس را استخراج کند.

توضیحات

آسیب‌پذیری CVE-2026-26980 یک ضعف امنیتی بحرانی از نوع SQL Injection است که در سیستم مدیریت محتوای Ghost CMS شناسایی شده و کامپوننت Content API این سیستم مبتنی بر Node.js را تحت تاثیر قرار می‌دهد. این آسیب‌پذیری ناشی از خنثی‌سازی نادرست داده‌های ورودی کاربر در هنگام ساخت دستورات SQL مطابق با CWE-89 می‌باشد. در نتیجه این ضعف، داده‌های کنترل‌شده توسط کاربر بدون ایمن‌سازی مناسب در رشته‌های SQL قرار می‌گیرند و امکان اجرای کوئری‌های دستکاری‌شده در پایگاه‌داده را فراهم می‌کنند.

این ضعف امنیتی در نسخه‌های 3.24.0 تا پیش از 6.19.0 از Ghost وجود دارد و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت و از طریق درخواست‌های ارسال‌شده به Content API، داده‌های دلخواهی را از پایگاه‌داده استخراج کنند. از آنجا که Content API در معماری Ghost برای ارائه‌ی عمومی داده‌های محتوایی طراحی شده و از کلید دسترسی عمومی (Public Content API Key) استفاده می‌کند، مهاجم می‌تواند از طریق پارامترهای درخواست API، به‌ویژه در بخش فیلتر slug در رشته کوئری (Query String)، ورودی‌های مخرب تزریق کرده و منطق اجرای کوئری را تغییر دهد.

در سناریوی اکسپلویت، مهاجم درخواست HTTP مخربی به Endpoint مربوط به Content API ارسال می‌کند که در آن پارامتر filter یا پارامترهای مرتبط با مرتب‌سازی slug حاوی عبارات SQL Injection هستند. برای مثال، الگوهایی مانند slug:[ یا نسخه کدگذاری‌شده آن slug%3A%5Bدر رشته کوئری می‌توانند باعث شوند ورودی کاربر مستقیماً در عبارت SQL قرار گیرد. این موضوع به مهاجم امکان می‌دهد ساختار کوئری را تغییر داده و داده‌های دلخواهی را از جدول‌های مختلف پایگاه‌داده استخراج کند.

اکسپلویت از این ضعف قابل خودکارسازی است؛ مهاجم می‌تواند با استفاده از اسکریپت‌های خودکار یا ابزارهای اکسپلویت عمومی، درخواست‌های مخرب را به‌صورت انبوه به سرورهای آسیب‌پذیر ارسال کند. برای این آسیب‌پذیری یک اکسپلویت عمومی منتشر شده است که با نام vognik شناخته می‌شود. این ابزار که از سیستم‌های پایگاه‌داده SQLite و MySQL پشتیبانی می‌کند قادر است از طریق ارسال درخواست‌های هدفمند به Content API داده‌های پایگاه‌داده را تخلیه (Database Dump) کند. مهاجم با استفاده از این ابزار می‌تواند ستون‌ها و جدول‌های خاصی را هدف قرار داده و اطلاعاتی مانند ایمیل کاربران (User Emails)، داده‌های محتوایی، هش گذرواژه‌ها و سایر داده‌های ذخیره‌شده در پایگاه‌داده را استخراج کند.

این آسیب‌پذیری تأثیر قابل‌توجهی بر محرمانگی (Confidentiality) و یکپارچگی (Integrity) دارد؛ زیرا مهاجم قادر است داده‌های حساس را مستقیماً از پایگاه‌داده بخواند و در برخی سناریوها با تغییر ساختار کوئری‌ها، داده‌ها را دستکاری کند. همچنین اجرای کوئری‌های پیچیده می‌تواند موجب ایجاد اختلال در در دسترس‌پذیری (Availability) سرویس شود.

این ضعف در نسخه 6.19.1 پچ شده است. در پچ امنیتی منتشرشده، توسعه‌دهندگان Ghost منطق کوئری‌ها را به استفاده از کوئری‌های پارامتری (Parameterized Query Bindings) تغییر داده‌اند تا داده‌های ورودی هرگز مستقیماً در رشته SQL درج نشوند.

CVSS

Score	Severity	Version	Vector String
9.4	CRITICAL	3.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

لیست محصولات آسیب پذیر

Versions	Product
affected at >= 3.24.0, < 6.19.1	Ghost

لیست محصولات بروز شده

Versions	Product
6.19.1	Ghost

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Ghost CMS را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
328	site:.ir “Ghost” “Node.js”	Ghost CMS

نتیجه گیری

آسیب‌پذیری بحرانی SQL Injection در Content API از Ghost به مهاجمان این امکان را می‌دهد که بدون نیاز به احراز هویت، به پایگاه‌داده دسترسی پیدا کرده و داده‌های حساس را استخراج کنند. برای کاهش سطح ریسک و افزایش امنیت سیستم‌های مبتنی بر Ghost، اقدامات زیر توصیه می‌شود:

به‌روزرسانی فوری: تمام نسخه‌های آسیب‌پذیر را به نسخه 19.1 یا بالاتر به‌روزرسانی کنید. این اقدام مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند
فیلترینگ ورودی‌ها: اطمینان حاصل کنید که ورودی‌ها به‌ویژه در API محتوای Ghost به‌طور کامل فیلتر و اعتبارسنجی شوند تا از نفوذ دستورات SQL جلوگیری شود.
استفاده از فایروال اپلیکیشن وب(WAF) : برای جلوگیری از درخواست‌های مخرب، می‌توانید از WAF برای مسدود کردن درخواست‌هایی حاوی رشته‌های خاص مانند slug%3A%5B استفاده کنید.
بررسی امنیتی و تست نفوذ: از ابزارهای امنیتی مانند OWASP ZAP یا Burp Suite برای تست نفوذ و شبیه‌سازی حملات SQL Injection استفاده کنید.
محدودسازی دسترسی API: در صورت امکان دسترسی عمومی به Content API را محدود کنید و از مکانیزم‌های احراز هویت یا محدودسازی IP استفاده نمایید.

اجرای این اقدامات، به ویژه به‌روزرسانی سریع به نسخه‌های پچ شده، ریسک بهره‌برداری از این آسیب‌پذیری را به طور چشمگیری کاهش داده و امنیت سیستم‌های Ghost را بهبود می‌بخشد.

امکان استفاده در تاکتیک‌های Mitre Attack (در زمان اجرای حمله)

Initial Access (TA0001)
مهاجم با ارسال درخواست‌های HTTP ساخته‌شده به Content API سیستم Ghost هدف، بدون نیاز به احراز هویت، دسترسی اولیه به قابلیت خواندن اطلاعات پایگاه داده را به دست می‌آورد. این دسترسی از راه دور و بدون نیاز به هیچ اعتبارنامه‌ای است.

Execution (TA0002)
مهاجم با تزریق کد SQL مخرب از طریق پارامتر filter در API، باعث اجرای دستورات SQL دلخواه روی پایگاه داده می‌شود. این اجرای کد در سطح پایگاه داده انجام می‌شود.

Persistence (TA0003)
مهاجم با دسترسی به اطلاعات احراز هویت کاربران (مانند هش رمزهای عبور)، می‌تواند با شکستن هش یا استفاده از حملات بازپخش (replay)، به حساب‌های کاربری (از جمله حساب مدیریت) دسترسی یافته و از آن طریق دسترسی پایدار خود را تضمین کند.

Privilege Escalation (TA0004)
مهاجم با خواندن اطلاعات حساس پایگاه داده، می‌تواند به حساب‌های کاربری با سطوح دسترسی بالاتر (مانند مدیر) دست یابد. این خود یک ارتقاء سطح دسترسی از “بدون دسترسی” به “مدیر” است.

Defense Evasion (TA0005)
مهاجم می‌تواند درخواست‌های مخرب خود را به گونه‌ای رمزگذاری یا encode کند که از قوانین ساده WAF عبور کند.

Credential Access (TA0006)
هدف اصلی این آسیب‌پذیری دقیقاً دسترسی به اطلاعات احراز هویت است. مهاجم می‌تواند هش رمزهای عبور کاربران (شامل مدیران)، توکن‌های نشست و کلیدهای API را از پایگاه داده استخراج کند.

Discovery (TA0007)
مهاجم با استفاده از تزریق SQL، می‌تواند ساختار پایگاه داده (نام جداول، ستون‌ها) را کشف کند تا نقاط ضعف بعدی را بیابد یا داده‌های باارزش‌تری را هدف قرار دهد.

Collection (TA0008)
مهاجم داده‌های حساس (مانند ایمیل‌ها، رمزهای عبور هش‌شده، محتوای پست‌ها، تنظیمات سایت) را از پایگاه داده جمع‌آوری کرده و برای انتقال آماده می‌کند.

Impact (TA0040)
بهره‌برداری موفق از این آسیب‌پذیری منجر به نابودی محرمانگی (Confidentiality) کامل داده‌های سایت می‌شود. مهاجم می‌تواند به تمام اطلاعات ذخیره‌شده در پایگاه داده دسترسی یابد، از جمله رمزهای عبور کاربران، اطلاعات شخصی، محتوای خصوصی و تنظیمات سایت. اگر مهاجم به رمزهای عبور مدیران دست یابد، می‌تواند کنترل کامل سایت را در دست گرفته و یکپارچگی (Integrity) و در دسترس بودن (Availability) آن را نیز به خطر اندازد. این امر می‌تواند منجر به نقض قوانین حریم خصوصی (مانند GDPR)، از دست رفتن اعتماد کاربران و خسارات مالی جبران‌ناپذیر شود.

منابع

گزارش اثبات آسیب‌پذیری CVE-2026-26980

اطلاعات آسیب‌پذیری

عنوان: تزریق SQL در Content API سیستم مدیریت محتوای Ghost

شناسه: CVE-2026-26980
وضعیت مشاوره: Advisory / Patch Available
امتیاز CVSS: 9.4 (CRITICAL)
محصول: Ghost (سیستم مدیریت محتوای مبتنی بر Node.js)

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر (پیش از اعمال وصله امنیتی):

تمامی نسخه‌های Ghost از نسخه 3.24.0 تا 6.19.0 (شامل این نسخه‌ها)
• Ghost 3.x
• Ghost 4.x
• Ghost 5.x
• Ghost 6.0.0 تا 6.19.0

محیط‌های درگیر

تمامی وب‌سایت‌های مبتنی بر Ghost که از Content API استفاده می‌کنند
• محیط‌های میزبانی اشتراکی، اختصاصی و ابری که میزبان Ghost هستند
• وب‌سایت‌هایی که به‌روزرسانی امنیتی (نسخه 6.19.1 یا بالاتر) را دریافت نکرده‌اند
• محیط‌های توسعه و آزمایش که از نسخه‌های آسیب‌پذیر استفاده می‌کنند
• استقرارهای خود میزبانی (Self-hosted) و مدیریت‌شده Ghost

کامپوننت‌های آسیب‌پذیر

Content API در Ghost
• فایل slug-filter-order.js (ابزار مرتب‌سازی فیلتر)
• مکانیزم مرتب‌سازی slug filter در Content API ا
• پارامتر filter در درخواست‌های API

ریشه مشکل (Root Cause Analysis)

ریشه اصلی این آسیب‌پذیری به یک نقص امنیتی کلاسیک از نوع “خنثی‌سازی نادرست عناصر ویژه در دستور SQL” (CWE-89) بازمی‌گردد. در هسته این نقص، ابزار slug-filter-order.js در Ghost به طور مستقیم مقادیر ارائه‌شده توسط کاربر (slug) را بدون پالایش (Sanitization) یا استفاده از پرسش‌های پارامتری (Parameterized Queries) درون دستورات SQL CASE جاسازی می‌کند.

این روش پیاده‌سازی به مهاجم اجازه می‌دهد با ارائه مقادیر خاص در پارامتر slug که حاوی کاراکترهای فرار (مانند نقل قول) است، از متن دستور SQL خارج شده و دستورات SQL دلخواه خود را تزریق کند. از آنجا که Content API در Ghost به طور پیش‌فرض بدون نیاز به احراز هویت در دسترس است و کلید API آن عمومی طراحی شده، هر مهاجمی با دسترسی شبکه به نمونه در حال اجرای Ghost می‌تواند از این آسیب‌پذیری سوءاستفاده کرده و اطلاعات حساس را از پایگاه‌داده استخراج کند.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

الحاق مستقیم و بدون پالایش مقادیر ورودی کاربر به رشته دستور SQL در فرآیند ساخت عبارت ORDER BY در API محتوا.

نحوه سوءاستفاده مهاجم:

مهاجم یک نمونه در حال اجرای Ghost آسیب‌پذیر را شناسایی می‌کند.
• یک درخواست HTTP به اندپوینت Content API ارسال می‌کند.
• در این درخواست، پارامتر filter با یک مقدار مخرب حاوی کد SQL تزریقی (مانند ‘ OR ‘1’=’1) مقداردهی می‌شود.
• سرور Ghost بدون اعتبارسنجی کافی، این مقدار را مستقیماً در دستور SQL جاسازی می‌کند.
• دستور SQL آلوده به پایگاه‌داده ارسال شده و اطلاعات حساس (مانند نام کاربری، رمزهای عبور هش‌شده، توکن‌های احراز هویت و محتوای سایت) بازگردانده می‌شود.
• مهاجم داده‌های بازگشتی را جمع‌آوری کرده و از آن‌ها برای حملات بعدی (مانند افزایش سطح دسترسی یا سرقت هویت) استفاده می‌کند.

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب‌پذیری به عنوان یک مکانیزم “کشف اطلاعات” (Information Disclosure) در زنجیره حمله (Cyber Kill Chain) عمل می‌کند. مهاجم بدون نیاز به هرگونه تعامل کاربر (Zero-Click) و با یک درخواست ساده، می‌تواند حجم زیادی از اطلاعات حساس را از پایگاه‌داده استخراج کند. این اقدام در فازهای “بهره‌برداری” (Exploitation) و “اقدام بر روی اهداف” (Actions on Objectives) قرار می‌گیرد. با توجه به اینکه این آسیب‌پذیری به مهاجم اجازه خواندن دلخواه از پایگاه‌داده را می‌دهد، می‌تواند منجر به افشای کامل اطلاعات کاربران، از جمله اعتبارنامه‌های ورود (که ممکن است در سرویس‌های دیگر نیز استفاده شوند)، توکن‌های API، محتوای خصوصی سایت و سایر داده‌های محرمانه شود. این داده‌ها می‌توانند به عنوان نقطه شروعی برای حملات ثانویه مانند افزایش سطح دسترسی در خود Ghost یا حملات credential stuffing در سایر سرویس‌ها مورد استفاده قرار گیرند. وجود یک PoC عمومی و مشاهده آن در حملات واقعی (In-the-Wild)، نگرانی‌ها در مورد این آسیب‌پذیری را افزایش می‌دهد.

پیش‌نیازهای بهره‌برداری (Prerequisites)

نصب بودن Ghost با نسخه 3.24.0 تا 6.19.0 (شامل این نسخه‌ها)
• فعال بودنContent API که به طور پیش‌فرض فعال است
• دسترسی شبکه به اندپوینت‌های عمومی API وب‌سایت هدف از سوی مهاجم
• کلید Content API که به طور پیش‌فرض عمومی است و محدودیت دسترسی مؤثر نیست
• عدم وجود مکانیزم‌های دفاعی مانند WAF با قوانین تشخیص SQL Injection
• عدم نصب وصله امنیتی ارائه‌شده (نسخه 6.19.1 یا بالاتر)

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

تمامی مقادیر ورودی کاربر در Content API باید قبل از استفاده در دستورات SQL، با استفاده از پرسش‌های پارامتری (Parameterized Queries) یا Statementهای آماده (Prepared Statements) پالایش شوند.
• هرگونه کاراکتر خاص مانند نقل قول باید به درستی خنثی‌سازی (Escape) یا حذف شود تا نتواند ساختار دستور SQL را تغییر دهد.
• Content API ا نباید به طور پیش‌فرض اجازه خواندن دلخواه از پایگاه‌داده را بدهد و دسترسی‌ها باید بر اساس حداقل دسترسی لازم (Principle of Least Privilege) محدود شوند.
• استفاده از کلیدهای API عمومی برای دسترسی به داده‌های حساس باید حذف یا به شدت محدود شود.
• در صورت بروز خطا در اعتبارسنجی ورودی، سیستم باید دسترسی را رد کرده و خطای مناسب (Fail-Closed) بازگرداند.
• لاگ‌های دقیق از تمامی تلاش‌های ناموفق و مشکوک به تزریق SQL ثبت شود.

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

به‌روزرسانی فوری Ghost به نسخه 6.19.1 یا بالاتر که وصله امنیتی برای این آسیب‌پذیری در آن اعمال شده است.
• در صورت عدم امکان به‌روزرسانی فوری، غیرفعال‌سازی موقت Content API تا زمان اعمال وصله.
• بازبینی و چرخش (Rotation) تمامی کلیدهای API و توکن‌های احراز هویت موجود در Ghost.
• بررسی دقیق لاگ‌های Ghost و وب‌سرور برای شناسایی هرگونه درخواست مشکوک حاوی الگوهای SQL Injection.

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

پیاده‌سازی قوانین Web Application Firewall (WAF) برای مسدودسازی درخواست‌های مشکوک به اندپوینت‌های Content API که حاوی الگوهای تزریق SQL هستند.
• مسدودسازی درخواست‌های Content API حاوی slug%3A%5B یا slug:[ در پارامتر filter کوئری استرینگ از طریق WAF یا پروکسی معکوس (Reverse Proxy).
• اعمال محدودیت نرخ درخواست (Rate Limiting) بر روی اندپوینت‌های Content API برای کاهش سرعت حملات خودکار.
• فعال‌سازی لاگ‌برداری دقیق از کوئری‌های پایگاه‌داده و هشدار در مورد کوئری‌های حاوی ساختارهای غیرعامل.

اقدامات بلندمدت برای کاهش ریسک:

استقرار یک برنامه مدیریت آسیب‌پذیری منظم برای پایش و به‌روزرسانی به‌موقع Ghost و تمامی وابستگی‌های آن.
• پیاده‌سازی امنیت لایه‌بندی‌شده (Defense in Depth) شامل استفاده از WAF، EDR و پایش مستمر لاگ‌ها.
• تهیه نسخه پشتیبان منظم از پایگاه‌داده و فایل‌های Ghost و آزمایش فرآیند بازیابی.
• برگزاری دوره‌های آموزشی امنیتی برای تیم توسعه و مدیریت وب‌سایت در خصوص خطرات تزریق SQL و روش‌های پیشگیری از آن.

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

مشاهده درخواست‌های متعدد به اندپوینت‌های API محتوا حاوی کاراکترهای نقل قول (‘) و الگوهای رایج تزریق SQL مانند ‘ OR ‘1’=’1.
• وجود پارامترهای غیرعادی در درخواست‌های API که با الگوی عادی ترافیک مطابقت ندارند.
• افزایش ناگهانی حجم داده‌های بازگشتی از Content API که نشان‌دهنده استخراج انبوه داده است.
• لاگ‌های پایگاه‌داده حاوی خطاهای SQL ناشی از تلاش برای تزریق دستورات مخرب.
• شناسایی الگوهای حمله در گزارش‌های WAF یا سیستم‌های تشخیص نفوذ (IDS/IPS).

منابع پیشنهادی برای مانیتورینگ و پایش:

لاگ‌های امنیتی Ghost (در صورت وجود) و لاگ‌های وب‌سرور (مانند Nginx یا Apache).
• تله‌متری‌های Web Application Firewall (WAF) برای شناسایی الگوهای SQL Injection.
• سامانه‌های SIEM برای جمع‌آوری و همبستگی لاگ‌های وب‌سرور، Ghost و پایگاه‌داده.
• پایش رفتاری ترافیک ورودی به اندپوینت‌های API برای شناسایی نرخ درخواست‌های غیرعادی.
• راهکارهای امنیتی پایگاه‌داده (Database Activity Monitoring) برای شناسایی کوئری‌های مشکوک.
• سرویس‌های Threat Intelligence برای دریافت به‌روزرسانی در مورد آدرس‌های IP مخرب و امضاهای حملات مرتبط با این CVE.

واکنش به حادثه (Incident Response)

قطع دسترسی وب‌سایت آلوده به اینترنت یا قرار دادن آن در حالت تعمیر و نگهداری (Maintenance Mode) برای جلوگیری از آسیب بیشتر.
• تهیه نسخه پشتیبان از فایل‌ها و پایگاه‌داده بلافاصله برای بررسی‌هایForensics.
• تحلیل دقیق لاگ‌های وب‌سرور و Ghost برای شناسایی منبع حمله و دامنه نفوذ.
• بررسی و شناسایی داده‌هایی که ممکن است به خطر افتاده باشند (مانند اطلاعات کاربران، توکن‌ها و محتوای خصوصی).
• چرخش (Rotation) تمامی کلیدهای API، توکن‌های احراز هویت و رمزهای عبور کاربران.
• پویش کامل وب‌سایت برای یافتن بدافزار، درهای پشتی (Backdoor) یا کدهای مخرب تزریق‌شده.
• به‌روزرسانی Ghost به نسخه امن (6.19.1 یا بالاتر) و بازگردانی اطلاعات از پشتیبان‌گیری سالم.
• مستندسازی کامل حادثه و به‌روزرسانی رویه‌های پاسخ‌دهی برای بهبود واکنش‌های آتی.

جریان حمله (Attack Flow)

جریان حمله همان طور که در شکل ۱ نمایش داده شده است, به این صورت است که مهاجم با ارسال یک درخواست HTTP آلوده به API محتوا، از ضعف امنیتی Ghost در پالایش نکردن ورودی‌ها سوءاستفاده کرده و اطلاعات حساس را از پایگاه‌داده استخراج می‌کند.

گزارش اثبات آسیب‌پذیری CVE-2026-26980 — شکل 1: نمودار جریان حمله

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte این آسیب‌پذیری را در یک محیط ایزوله و کنترل‌شده مورد بررسی قرار داده است.

این اثبات مفهوم صرفاً جهت درک بهتر سازوکار حمله و به صورت توصیفی ارائه می‌شود.
• یک محیط آزمایشگاهی ایزوله با نصب Ghost نسخه 6.19.0 (آسیب‌پذیر) آماده شده است.
• یک درخواست HTTP به آدرس https://target-ghost-instance/ghost/api/content/posts/?filter=slug%3A%5B’%20OR%20’1’%3D’1 ارسال می‌شود.
• در این درخواست، پارامتر filter حاوی یک payload ساده تزریق SQL است که قصد دارد شرط WHERE را همیشه صحیح کند.
• سرور Ghost به دلیل عدم پالایش ورودی، این payload را مستقیماً در دستور SQL جاسازی کرده و به پایگاه‌داده ارسال می‌کند.
• در پاسخ، سرور Ghost داده‌هایی را بازمی‌گرداند که نشان‌دهنده موفقیت آمیز بودن تزریق SQL است.
• پس از اعمال وصله امنیتی (ارتقا به نسخه 6.19.1)، اجرای مجدد درخواست منجر به خنثی‌سازی خودکار payload شده و داده اضافی بازگردانده نمی‌شود (شکل ۲).

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-26980

https://nvd.nist.gov/vuln/detail/CVE-2026-26980

https://cwe.mitre.org/data/definitions/89.html

https://github.com/advisories/GHSA-w52v-v783-gw97

https://www.sentinelone.com/vulnerability-database/cve-2026-26980/

Ghost CMS

CVE-2026-26980 – Unauthenticated Database Read via Improper Access Control

Affects

Ghost (Node.js content management system)
Versions:
- 3.24.0 through 6.19.0
Deployments where:
- Ghost is accessible over the network (public or internal),
- No additional access controls are enforced at the application or network layer.

Description

CVE-2026-26980 is a critical information disclosure vulnerability in Ghost CMS that allows unauthenticated attackers to perform arbitrary reads from the database.

The issue stems from insufficient access control enforcement in certain application endpoints or logic paths, allowing requests to retrieve data directly from the backend database without proper authentication checks.

As a result, attackers can access sensitive data stored in the Ghost database, potentially including:

user account information,
email addresses,
hashed passwords,
content drafts,
configuration data.

Because exploitation does not require authentication, this vulnerability presents a significant risk for publicly exposed Ghost instances.

Attack Vector

Primary Attack Vector:
Remote / Unauthenticated (HTTP-based)

Attack Scenario:

An attacker identifies a publicly accessible Ghost instance.
The attacker sends crafted HTTP requests to vulnerable endpoints.
Due to missing or improper authentication checks, the application processes the request.
The application returns data retrieved directly from the database.
The attacker extracts sensitive information without valid credentials.

Key Characteristics:

No authentication required.
No user interaction required.
Exploitation occurs via standard HTTP requests.
Targets backend data access logic.

Conditions Increasing Risk:

Publicly exposed Ghost instances.
Lack of Web Application Firewall (WAF) protections.
Weak monitoring or logging of API access.
Multi-user environments with sensitive stored data.

Impact

Successful exploitation may allow an attacker to:

Read sensitive database records,
Harvest user credentials (hashed),
Access private or unpublished content,
Gather configuration and operational data,
Enable follow-on attacks (e.g., credential stuffing, phishing).

The vulnerability has a high confidentiality impact and may indirectly affect integrity depending on system usage.

Observed Exploitation & Threat Activity

No confirmed widespread exploitation reported at disclosure time.
Due to:
- unauthenticated access,
- ease of exploitation,
- high-value data exposure,
this vulnerability is considered high risk and likely to be targeted quickly.

Severity & Metrics

CVSS v3.1: Critical (9.8)
Attack Vector: Network
Privileges Required: None
User Interaction: None
Impact:
- Confidentiality: High
- Integrity: Low
- Availability: None

Relevant CWE:

CWE-284 – Improper Access Control
CWE-200 – Exposure of Sensitive Information
CWE-862 – Missing Authorization

Patch & Vendor Status

The vulnerability is fixed in Ghost version 6.19.1.
The patch includes:
- stricter authentication enforcement,
- improved access control validation.

Users are strongly advised to upgrade immediately.

Mitigation & Remediation

Immediate Actions

Upgrade Ghost CMS to version 6.19.1 or later.
Restart the application after upgrading.
Audit logs for suspicious data access activity.

Temporary Compensating Controls (If Upgrade Is Delayed)

Restrict access to Ghost endpoints via firewall or reverse proxy.
Implement authentication gateways (e.g., API gateways, WAF).
Limit exposure to trusted networks only.

These mitigations reduce exposure but do not eliminate the vulnerability.

Detection & Hunting

Indicators of Potential Exploitation:

Unusual or high-volume API requests.
Requests accessing database-related endpoints without authentication.
Data exfiltration patterns in logs.
Unexpected access to user or content data.

Recommended Monitoring:

HTTP access logs.
Application logs for unauthorized data queries.
Network monitoring for abnormal traffic patterns.
Alerts for large data responses.

Post-Incident Response

If exploitation is suspected:

Immediately restrict access to the Ghost instance.
Preserve logs for forensic analysis.
Identify and assess exposed data.
Upgrade to the patched version.
Reset user credentials if compromise is suspected.
Notify affected users if sensitive data was exposed.

Summary Table

Category	Details
Vulnerability	Unauthenticated database read
Component	Ghost backend data access logic
Attack Vector	Remote, unauthenticated HTTP request
Impact	Sensitive data disclosure
Affected Versions	3.24.0 – 6.19.0
Fixed Version	6.19.1
Severity	Critical

References

Ghost Security Advisory – CVE-2026-26980
NVD – CVE-2026-26980
CWE-284: Improper Access Control

برچسب خوردهContent-API, CVE 2026 26980, CWE-89, Database-Dump, Ghost-CMS, Information Disclosure, Node.js CMS, Public-Exploit, SQL Injection, VulnerbyteAlerts, آسیب‌پذیری_بحرانی, استخراج_داده, پایگاه‌داده