Ghost CMS: Persistente Cross-Site-Scripting-Lücke über oEmbed-Foto-Antworten

Zusammenfassung

Ghost, ein Open-Source-Content-Management-System auf Node.js-Basis, speichert nicht vertrauenswürdige Skripte, wenn ein Beitrag eine URL einer von Angreifern kontrollierten Website einbettet. Die Skripte können im Ghost-Editor, auf der veröffentlichten Website und in Newsletter-E-Mails ausgeführt werden und können zur Kompromittierung einer Admin-Sitzung eines Mitarbeitenden führen. Die Lücke wurde behoben, indem Foto-Antworten von oEmbed-Anbietern, die nicht auf der Allowlist stehen, abgelehnt werden.

Betroffen

• Ghost von 2.1.0 bis einschliesslich 6.63.x (behoben in 6.64.0)
• Einige Quellen nennen 2.5.0 als Beginn des Bereichs; 2.1.0 wird als konservativer Startwert verwendet
• Die verwandte Ghost-XSS-Lücke CVE-2026-105643 führt Versionen bis 6.67.0 als betroffen auf

Behoben in

• Ghost 6.64.0 (Korrektur des Herstellers)
• Einige Drittquellen empfehlen 6.64.1 oder neuer; vom Hersteller nicht bestätigt
• Die neueste stabile Ghost-Version prüfen, da neuere XSS-Korrekturen existieren

Umgehung

• Keine Workaround-Massnahme des Herstellers. Das Aktualisieren ist die Korrektur.
• Eine nicht verifizierte Drittquelle schlägt vor, oEmbed-Funktionen vorübergehend zu deaktivieren; vor einer Anwendung testen.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog bestätigt
• Kein bestätigter öffentlicher Proof of Concept

Unsere Empfehlung

• Ghost auf die neueste stabile Version aktualisieren, mindestens auf 6.64.0
• Bei selbst gehosteten Installationen (Docker, Ghost-CLI, VM) das Update zeitnah einspielen
• Konten und Sitzungen von Mitarbeitenden auf ungewöhnliche Aktivitäten prüfen und starke Authentifizierung erzwingen
• Veröffentlichte Beiträge und Newsletter auf unerwartet eingebettete Skripte prüfen
• Herstellerwarnungen zu weiteren Ghost-XSS-Korrekturen beobachten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v3xr-g6p2-fvgv github.com
• Ghost release v6.64.0 github.com
• Ghost fix commit d23d552 github.com
• Ghost pull request #30763 github.com
• GitLab Advisory Database: CVE-2026-105650 advisories.gitlab.com
• OSV: BIT-ghost-2026-105650 osv.dev
• OSV: GHSA-v3xr-g6p2-fvgv osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:53.