Ghost: Remote Code Execution über Bookmark-Card-Bilder
Zusammenfassung
Ghost, ein Node.js-basiertes Content-Management-System, enthält eine Schwachstelle in der SVG-Verarbeitung einer mitgelieferten Bildverarbeitungsbibliothek. Jeder Staff-Benutzer, einschliesslich der niedrigsten Rolle Contributor, kann eine Bookmark-Card für eine vom Angreifer kontrollierte Website erstellen und so beliebige Befehle auf dem Ghost-Server ausführen. Gemäss CVSS-Vektor ist eine Benutzerinteraktion erforderlich.
Betroffen
- Ghost-Versionen ab 6.56.0 bis und mit 6.66.x bzw. bis vor 6.67.0
- Der Hersteller nennt v6.65.0 als letzte verwundbare Version; Drittquellen weichen ab (6.66.x), daher gelten alle Versionen unter 6.67.0 als betroffen
- Self-Hosted- und Ghost(Pro)-Installationen: Status von Ghost(Pro) unbekannt
Behoben in
- Ghost 6.67.0
Umgehung
- Kein Workaround des Herstellers. Das Update ist die einzige dokumentierte Massnahme.
- Übergangsmassnahmen (nicht vom Hersteller): Staff- und Contributor-Konten auf benötigte Personen beschränken, Staff-Konten auf unbekannte Benutzer prüfen und kürzlich erstellte Bookmark-Cards auf Links zu unbekannten Websites kontrollieren. Diese reduzieren die Exposition, ersetzen das Update aber nicht.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt (CISA KEV: nein).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen wurde kein öffentlicher Exploit-Code gefunden; EPSS unbekannt.
Unsere Empfehlung
- Self-Hosted-Ghost auf Version 6.67.0 oder neuer aktualisieren, über das offizielle Docker-Image oder den Ghost-CLI-Update-Pfad.
- Prüfen, welche Konten Staff- oder Contributor-Rollen besitzen, und nicht benötigte entfernen.
- Kürzlich erstellte Bookmark-Cards und Serverprotokolle auf verdächtige Aktivitäten prüfen.
- Das Patchen innerhalb des üblichen Zeitfensters für Schwachstellen mit hohem Schweregrad priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Vendor advisory GHSA-788w-68h3-cvxp github.com
- GitHub Advisory Database github.com
- OSV osv.dev
- GitLab advisory advisories.gitlab.com
- Ghost security page github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.