PT-2026-52072

CVE-2026-53948

Publicado

2026-06-24

Atualizado

2026-08-04

Descrição por

CVSS 3.1

5.4

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Ghost versões 6.19.4 até 6.21.0

Descrição A validação insuficiente do Content-Type fornecido pelo cliente no endpoint de upload de arquivos da Admin API permite que arquivos carregados sejam servidos com um tipo de conteúdo escolhido por um invasor em backends de armazenamento S3 ou GCS. Em instalações onde os arquivos carregados são servidos a partir da mesma origem do site, isso pode facilitar o cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e executados no navegador de visitantes ou funcionários do site.

Recomendações Atualizar para a versão 6.21.1.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-434: Unrestricted Upload of File with Dangerous Type

Identificadores relacionados

CVE-2026-53948

GHSA-944X-PM95-3JPR