Ghost CVE-2026-105644: import SVG może zagrozić sesji administratora

5 października opublikowano CVE-2026-105644 dla Ghost, systemu publikowania treści opartego na Node.js. Rekord wskazuje wersje od 4.0.0 do poniżej 6.67.0 oraz naprawę w 6.67.0. Problem dotyczy obrazów SVG dołączonych do importu treści, które były zapisywane bez sanitizacji.

Nota producenta z 1 października wskazuje konieczność przekonania administratora do importu pliku. Skrypt w domenie witryny może zagrozić sesjom administracyjnym pracowników. Sam rekord nie potwierdza ataku na konkretny serwis.

Kto powinien sprawdzić ekspozycję

Kontrola dotyczy zespołów utrzymujących Ghost oraz osób odpowiedzialnych za migracje, importy i materiały od zewnętrznych dostawców. Trzeba ustalić wersję działającej aplikacji, kto może importować dane i jakie archiwa przyjęto w ocenianym okresie.

Tabela noty i rekord CVE wskazują granicę 6.67.0, choć opis noty kończy zakres na 6.65.0. Nie uznajemy tej rozbieżności za dowód bezpieczeństwa 6.66.x: wybierz wydanie zawierające naprawę.

Import jest granicą zaufania

Wniosek Breachroad: zatwierdzenie archiwum przez administratora nie powinno nadawać jego zawartości automatycznego zaufania. Import może przenosić obrazy, odnośniki i elementy aktywne, a przegląd tytułów wpisów nie stanowi pełnej oceny tych składników.

W kodzie importera po zmianie obrazy są sprawdzane przed dalszym przetwarzaniem, a SVG i SVGZ trafiają do sanitizacji. Dla własnego procesu warto więc osobno ocenić drogę przesyłania pliku i drogę importu. Kontrola jednej nie stanowi dowodu zabezpieczenia drugiej.

Plan działań dla administratora i redakcji

1. Potwierdź wersję. Sprawdź działającą instancję, obraz oraz konfigurację odtwarzania. Zgłoszenie powinno wskazywać właściciela aktualizacji i sposób jej potwierdzenia.
2. Wdróż poprawione wydanie. Zaplanuj aktualizację do wspieranej wersji zawierającej naprawę z 6.67.0, zgodnie z metodą instalacji i procedurą kopii zapasowej organizacji.
3. Uporządkuj przyjmowanie archiwów. Ustal źródło materiału, oczekiwany zakres i osobę zatwierdzającą. Podejrzany plik najpierw kieruj do oceny w odizolowanym środowisku.
4. Sprawdź zachowanie importu. Użyj kontrolnego materiału bez prawdziwych danych i sesji produkcyjnej. Potwierdź wynik obsługi SVG, a nie tylko komunikat o udanym imporcie.
5. Oceń historię. Przy podejrzeniu wcześniejszego złośliwego importu zabezpiecz materiał, przejrzyj odpowiednie zasoby i aktywność kont. Decyzje o unieważnieniu sesji oraz zmianie poświadczeń podejmij w procedurze incydentowej.

To nasze rekomendacje operacyjne. Poprawne działanie nowego importu nie odpowiada samo na pytanie o wcześniej przyjęte materiały. Raport powinien oddzielać aktualny stan naprawy od oceny możliwego wcześniejszego naruszenia.

Przykład szkoleniowy: archiwum od partnera

W naszym fikcyjnym scenariuszu redakcja otrzymuje gotowy eksport bloga. Dostawca prosi o szybki import przed premierą. Administrator widzi znane tytuły i kilka plików graficznych, więc uznaje paczkę za rutynową.

Ćwiczenie polega na wskazaniu trzech decyzji: kto potwierdza pochodzenie archiwum, gdzie ocenia się jego zawartość i jakie dowody są potrzebne przed importem do produkcji. Nie wymaga otwierania podejrzanego SVG w przeglądarce zalogowanej do panelu. Presja terminu powinna uruchomić ustaloną ścieżkę eskalacji, a nie pominięcie kontroli.

Szkolenia z cyberbezpieczeństwa dla zespołów IT i redakcji pomagają przećwiczyć te decyzje i sposób zgłaszania wątpliwości. Techniczne podstawy omawiamy w materiale o bezpiecznym przesyłaniu plików.

Źródła i wnioski Breachroad

Daty, wersje i mechanizm pochodzą z rekordu CVE oraz noty Ghost. Podlinkowany kod potwierdza zmianę obsługi importowanych obrazów. Plan reakcji i scenariusz redakcyjny są rekomendacjami Breachroad. Nie utożsamiamy starszej instalacji z potwierdzonym przejęciem sesji.