Ghost CMS: acht kwetsbaarheden verholpen, waaronder stored XSS en RCE voor beheerders

Overzicht van de kwetsbaarheden

Er zijn acht CVE's gepubliceerd voor Ghost CMS, die een breed scala aan zwakke plekken bestrijken. CVE-2026-104414 en CVE-2026-104413 zijn stored XSS-kwetsbaarheden waarmee scripts kunnen worden geïnjecteerd via respectievelijk oEmbed-fotoresponsen en het ophalen van afbeeldingen voor bookmark cards. CVE-2026-104418 stelt een geauthenticeerde beheerder in staat remote code execution te bereiken door een thema met kwaadaardige vertaalbestanden te uploaden. CVE-2026-104417 is een gerelateerd path traversal-probleem bij het laden van vertaalbestanden van thema's, waarmee beheerders JSON-bestanden buiten de actieve themamap kunnen lezen. CVE-2026-103290 is een path traversal-probleem in de ImageSize-service. CVE-2026-104415 en CVE-2026-104416 zijn informatielekken in de Admin API, respectievelijk met betrekking tot de volgorde van wachtwoordhashes en de blootstelling van uitnodigingstokens. CVE-2026-103289 is een autorisatiefout in de reactiefunctie, waardoor leden reacties kunnen inzien waartoe ze geen toegang zouden mogen hebben.

Oorzaken

De stored XSS-kwetsbaarheden (CVE-2026-104414, CVE-2026-104413) ontstaan doordat extern gehoste content die in berichten wordt ingesloten onvoldoende wordt gevalideerd: oEmbed-fotoresponsen en thumbnails van bookmark cards kunnen zo worden geprepareerd dat ze scripts opslaan en uitvoeren in de Ghost-editor, op de gepubliceerde site of in nieuwsbrief-e-mails. De RCE-kwetsbaarheid (CVE-2026-104418) en de gerelateerde path traversal-fout (CVE-2026-104417) ontstaan beide door de manier waarop Ghost vertaalbestanden van thema's laadt, waardoor geprepareerde bestanden of gemanipuleerde taalinstellingen code kunnen uitvoeren of willekeurige JSON-bestanden op de server kunnen lezen. CVE-2026-103290 wordt veroorzaakt door onvoldoende validatie van door gebruikers opgegeven bestandspaden in de ImageSize-service. De twee informatielekken (CVE-2026-104415, CVE-2026-104416) zijn het gevolg van de Admin API die gegevens blootgeeft die afgeschermd zouden moeten blijven: de relatieve volgorde van wachtwoordhashes en geheime uitnodigingstokens. CVE-2026-103289 is een invoervalidatieprobleem in de reactiefunctie waardoor toegang tot reactiegegevens niet correct wordt beperkt.

Waarom dit belangrijk is

Verschillende van deze kwetsbaarheden kunnen leiden tot compromittering van beheerderssessies (via stored XSS) of volledige compromittering van de server (via de RCE-fout). De RCE-kwetsbaarheid (CVE-2026-104418) is bijzonder ernstig, omdat een aanvaller met beheerdersrechten, of een aanvaller die een beheerdersaccount weet over te nemen, hiermee willekeurige code op de server kan uitvoeren. De twee informatielekken kunnen worden gecombineerd: bij CVE-2026-104416 wordt expliciet vermeld dat blootstelling van uitnodigingstokens kan leiden tot escalatie van rechten, doordat medewerkers openstaande uitnodigingen voor hoger geprivilegieerde rollen kunnen accepteren. Hoewel voor meerdere problemen geauthenticeerde toegang als medewerker of beheerder vereist is, maakt de combinatie van stored XSS, mogelijke rechtenescalatie en RCE tijdig patchen belangrijk.

Wie wordt getroffen

Elke zelf gehoste of beheerde Ghost CMS-installatie met een versie binnen de getroffen reeksen loopt risico. De getroffen versiereeksen verschillen per kwetsbaarheid: CVE-2026-104414 treft versies vanaf 2.5.0 tot vóór 6.64.0; CVE-2026-104418 treft versies vanaf 6.10.3 tot vóór 6.64.0; CVE-2026-103290 treft versies vanaf 6.14.0 tot vóór 6.27.0; CVE-2026-104415 treft versies vanaf 0.7.2 tot vóór 6.64.0; CVE-2026-104417 treft versies vanaf 1.20.0 tot vóór 6.64.0; CVE-2026-104416 treft versies vanaf 4.39.0 tot vóór 6.64.0; CVE-2026-104413 treft versies vanaf 5.94.0 tot vóór 6.64.0; CVE-2026-103289 treft versies vanaf 5.9.0 tot vóór 6.44.1.

Getroffen en verholpen versies

Ghost-versies 2.5.0 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104414 (verholpen in 6.64.0). Versies 6.10.3 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104418 (verholpen in 6.64.0). Versies 6.14.0 tot maar niet inclusief 6.27.0 worden getroffen door CVE-2026-103290 (verholpen in 6.27.0). Versies 0.7.2 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104415 (verholpen in 6.64.0). Versies 1.20.0 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104417 (verholpen in 6.64.0). Versies 4.39.0 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104416 (verholpen in 6.64.0). Versies 5.94.0 tot maar niet inclusief 6.64.0 worden getroffen door CVE-2026-104413 (verholpen in 6.64.0). Versies 5.9.0 tot maar niet inclusief 6.44.1 worden getroffen door CVE-2026-103289 (verholpen in 6.44.1).

Oplossingen

Voor alle acht kwetsbaarheden zijn fixes beschikbaar. Zes van de acht problemen (CVE-2026-104414, CVE-2026-104418, CVE-2026-104415, CVE-2026-104417, CVE-2026-104416, CVE-2026-104413) zijn verholpen in Ghost-versie 6.64.0. CVE-2026-103290 werd eerder al verholpen in versie 6.27.0, en CVE-2026-103289 werd verholpen in versie 6.44.1. Installaties met een versie vóór deze verholpen versies blijven kwetsbaar voor de bijbehorende problemen.

Aanbevolen acties

Sitebeheerders wordt geadviseerd Ghost bij te werken naar versie 6.64.0 om de meerderheid van deze kwetsbaarheden te verhelpen, en te controleren of de geïnstalleerde versie gelijk is aan of nieuwer dan deze release. Draait u nog een oudere installatie die 6.27.0 of 6.44.1 nog niet heeft bereikt, geef dan prioriteit aan het bijwerken naar minimaal 6.64.0 om alle bekendgemaakte problemen in één keer te verhelpen. Controleer medewerkers- en beheerdersaccounts op tekenen van ongeautoriseerde toegang, en controleer themabestanden en bookmark/embed-content op verdachte geïnjecteerde scripts, zeker als updates zijn uitgesteld.