CVE-2026-26980
Ghost tem uma injeção de SQL na Content API
- Publicado
- 20 de fev. de 2026
- Atualizado
- 26 de mai. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 7 de mai. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:LBaixo · próximos 30 dias
- Percentil
- 92,2%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Ghost é um sistema de gerenciamento de conteúdo em Node.js. As versões 3.24.0 a 6.19.0 permitem que atacantes não autenticados realizem leituras arbitrárias do banco de dados. Este problema foi corrigido na versão 6.19.1.
Fontes
http/cves/2026/CVE-2026-26980.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
CVE-2026-26980 — Laboratório de Injeção SQL na Content API do Ghost CMS (SQLi cego não autenticado via ordenação do filtro slug)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.