• 漏洞编号：CVE-2026-26980
• 漏洞等级：严重
• 漏洞标签：在野利用、POC公开、关键漏洞
• 发布时间：2026-02-20

漏洞描述

Ghost是基于Node.js构建的开源内容管理系统，专为现代博客和数字出版设计，提供简洁的Markdown编辑界面、灵活的主题引擎和强大的会员订阅管理功能。该系统采用现代化Web技术栈开发，支持多用户协作、内容版本控制和RESTful API集成，能够满足个人博主到大型新闻媒体的内容发布需求。其架构注重性能优化和SEO友好性，拥有活跃的开源社区和丰富的插件生态系统，被广泛应用于各类网站建设和内容管理场景。3.24.0至6.19.0版本存在安全缺陷，由于输入验证机制不充分导致SQL注入漏洞，未经身份验证的远程攻击者可通过向特定端点发送包含恶意SQL代码的HTTP请求，绕过应用程序的访问控制直接对底层数据库执行任意读取操作，可能导致用户数据、文章内容及系统配置等敏感信息泄露。

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/444620