CVE-2026-26980

إصدارات Ghost من 3.24.0 إلى 6.19.0

يوجد ثغرة حقن SQL عمياء في واجهة برمجة تطبيقات المحتوى (Content API) لبرنامج Ghost، وهو نظام إدارة محتوى يعمل على Node.js. تنشأ المشكلة من استخدام تسلسل السلاسل بدلاً من الاستعلامات المعلمة عند معالجة مدخلات المستخدم في مرشح slug، مما يسمح للمهاجمين غير المصادق عليهم بإجراء عمليات قراءة عشوائية من قاعدة البيانات. تم استغلال هذه الثغرة في حملة واسعة النطاق أثرت على أكثر من 700 نطاق، بما في ذلك مؤسسات بارزة مثل هارفارد وأكسفورد. استهدف المهاجمون نقطة النهاية /ghost/api/content/tags/ لسرقة مفاتيح واجهة برمجة تطبيقات الإدارة (Admin API)، والتي استُخدمت بعد ذلك لحقن جافا سكريبت ضار في المقالات. سهّل هذا الكود المحقون تنفيذ هجمات ClickFix، حيث تم خداع المستخدمين من خلال مطالبات تحقق مزيفة من Cloudflare لتنفيذ أوامر ضارة محليًّا، مما أدى إلى تثبيت برامج سرقة المعلومات وبرامج حصان طروادة للوصول عن بُعد (RATs) على أنظمة macOS وWindows.

قم بتحديث Ghost إلى الإصدار 6.19.1 أو أحدث.

قم بتغيير جميع مفاتيح Admin API.

افحص محتوى المقالات على مستوى قاعدة البيانات لتحديد وإزالة البرامج النصية المُدرجة.

راجع سجلات استدعاءات Admin API بحثًا عن تعديلات جماعية غير مصرح بها على المقالات.

كإجراء تخفيفي مؤقت، استخدم وكيلًا عكسيًّا أو قاعدة WAF لحظر طلبات Content API التي تحتوي على slug%3A%5B أو slug:[ في معلمة مرشح سلسلة الاستعلام.