JVNDB-2026-002600

Ghost FoundationのGhost等の複数製品におけるクロスサイトスクリプティングの脆弱性

Ghostはオープンソースのコンテンツ管理システムです。Ghostのバージョン5.43.0から5.12.04および6.0.0から6.14.0の間に、攻撃者が悪意のあるリンクを作成し、それに認証されたスタッフユーザーまたはメンバーがアクセスすると、被害者の権限でJavaScriptが実行され、アカウントの乗っ取りにつながる可能性がありました。Ghost Portalのバージョン2.29.1から2.51.4および2.52.0から2.57.0もこの問題の影響を受けていました。Ghostは最新のメンバーズポータルコンポーネントのパッチをCDN経由で自動的に読み込みます。Ghost 5.xユーザーは、v5.121.0以降にアップグレードすることで脆弱性を修正できます。v5.121.0はパッチを含むPortal v2.51.5を読み込みます。Ghost 6.xユーザーは、v6.15.0以降にアップグレードすることで脆弱性を修正できます。v6.15.0はパッチを含むPortal v2.57.1を読み込みます。カスタマイズされた、またはセルフホストされたバージョンのPortalを使用しているGhostインストールでは、最新のパッチバージョンから手動で再ビルドまたは更新する必要があります。

Ghost Foundation

• Ghost 5.43.0 以上 5.121.0 未満
• Ghost 6.0.0 以上 6.15.0 未満
• Portal 2.29.1 以上 2.51.5 未満
• Portal 2.52.0 以上 2.57.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : XSS via malicious Portal preview links  Advisory  TryGhost/Ghost  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-24778

1. National Vulnerability Database (NVD) : CVE-2026-24778
2. 関連文書 : Fixed XSS vulnerabilities in Portal  TryGhost/Ghost@da858e6  GitHub

• [2026年02月04日]
    掲載