Ghost: Gespeichertes Cross-Site Scripting über lokale Datei-Uploads
Zusammenfassung
Ghost, ein Content-Management-System auf Basis von Node.js, enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Verarbeitung von Datei-Uploads. Auf Websites mit dem Standard-Storage-Adapter für lokalen Speicher werden hochgeladene Dateien mit einem Content-Type ausgeliefert, der von ihrer Dateiendung abgeleitet wird, sodass ein Staff-Benutzer Skripte auf der Domain der Website hosten kann. Ein Angreifer mit einem Staff-Konto kann damit die Admin-Sitzungen anderer Staff-Benutzer kompromittieren.
Betroffen
- Ghost ab 6.22.1 bis 6.64.0 (betroffener Bereich: >= 6.22.1, < 6.64.0)
- Websites mit dem Standard-Storage-Adapter für lokalen Speicher
Behoben in
- Ghost 6.64.0
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme. Das Upgrade auf 6.64.0 ist die Behebung.
- Provisorische Massnahme bis zum Patch (nicht vom Hersteller): Datei-Uploads in den lokalen Speicher für Staff-Benutzer deaktivieren oder einschränken und eine strikte MIME-Validierung erzwingen.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Exploitation none, Automatable no.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Selbst gehostete Ghost-Instanzen auf 6.22.1 ohne Verzögerung auf 6.64.0 aktualisieren. Dies behebt auch CVE-2026-104413 (Bookmark-Card-Bilder).
- Bis zum Patch Staff-Einladungen einschränken und bestehende Staff-Konten überprüfen.
- Hochgeladene Dateien auf skripthaltige Inhalte prüfen und feststellen, welcher Storage-Adapter verwendet wird.
- Ghost(Pro)-Kunden: beim Anbieter bestätigen, dass der Patch eingespielt ist (nicht verifiziert).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-gfjp-2p8f-94qv github.com
- VulnCheck advisory: Ghost 6.22.1 before 6.64.0 Stored XSS www.vulncheck.com
- OSV: GHSA-gfjp-2p8f-94qv osv.dev
- GitLab Advisory Database: Ghost CVE-2026-105679 advisories.gitlab.com
- Vulners: CVE-2026-104411 vulners.com
- GitHub Security page for TryGhost/Ghost github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.