🔍 CVE-2026-22596

6.7
CVSS Score
MEDIUM
2026-01-10
2026-06-17 10:20
✅ 완료

🇰🇷 한글 설명

Ghost는 Node.js를 기반으로 하는 콘텐츠 관리 시스템입니다. 버전 5.90.0부터 5.130.5와 6.0.0부터 6.10.3까지의 버전에서 Ghost의 /ghost/api/admin/members/events 엔드포인트에 있는 취약점으로 인해 관리자 API의 인증 자격증명을 가진 사용자가 임의의 SQL을 실행할 수 있습니다. 이 문제는 버전 5.130.6과 6.11.0에서 패치되었습니다.

💡 쉬운 설명

Ghost 콘텐츠 관리 시스템의 일부 버전에서 관리자 API에 접근할 수 있는 사용자가任意의 SQL 명령을 실행할 수 있는 취약점이 발견되었습니다. 이는 데이터베이스를 조작하거나 중요한 정보를 탈취할 수 있는 취약점입니다. 최신 버전으로 업데이트하여 취약점을 해결할 수 있습니다.

🇺🇸 원문 (English)

Ghost is a Node.js content management system. In versions 5.90.0 through 5.130.5 and 6.0.0 through 6.10.3, a vulnerability in Ghost's /ghost/api/admin/members/events endpoint allows users with authentication credentials for the Admin API to execute arbitrary SQL. This issue has been patched in versions 5.130.6 and 6.11.0.

📍 영향받는 시스템

Ghost 콘텐츠 관리 시스템 버전 5.90.0 ~ 5.130.5, 6.0.0 ~ 6.10.3

⚔️ 공격 벡터

관리자 API의 인증 자격증명을 사용하여 /ghost/api/admin/members/events 엔드포인트에 접근

🛡️ 대응 방법

Ghost를 버전 5.130.6 또는 6.11.0으로 업데이트하여 취약점을 해결

🔧 검증 코드

로컬에서 Python을 실행하여 Ghost 시스템의 취약점을 점검합니다. 점검을 위해 대상 시스템의 URL과 관리자 API의 인증 자격증명을 대체하여 사용합니다. Python 3.x 버전이 설치되어 있어야 하며, requests 라이브러리가 설치되어 있지 않다면 pip install requests 명령으로 설치할 수 있습니다.

Shell / Script 
python -c "import requests; response = requests.get('https://example.com/ghost/api/admin/members/events', auth=('username', 'password')); if response.status_code == 200: print('{{"result": "취약", "reason": "관리자 API에 접근할 수 있습니다."}}'); else: print('{{"result": "양호", "reason": "관리자 API에 접근할 수 없습니다."}}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L

💻 영향받는 소프트웨어

Node.js