Cisco Talos の研究者は最近、Ghost CMS の重大な脆弱性を発見しました, 人気のあるオープン ソース コンテンツ管理およびニュースレター購読システム, CVE-2022-41654 として指定. この脆弱性により、外部ユーザーが許可される可能性があります (ニュースレター購読者) ニュースレターを作成し、既存のニュースレターに悪意のある JavaScript コードを追加する.
ゴーストCMSとは?
Ghost はオープンソースのコンテンツ管理システムです (CMS) プロのブロガー向けに設計されています, 出版物, とオンラインビジネス. JavaScriptで書かれており、使いやすいように設計されています, ナビゲートしやすい管理インターフェイスとテンプレート システムを使用. Ghost は無料で、オープン ソース プロジェクトとして利用できます。, 何千ものウェブサイトやアプリケーションで使用されています. CMS は、ニュースレター購読システムも提供します.
Ghost CMS の CVE-2022-41654: これまでに知られていること?
CVE-2022-41654 は 認証バイパスの脆弱性 Ghost Foundation ゴースト版のニュースレター購読機能に存在する 5.9.4. 特別に細工された HTTP リクエストにより、権限が増加する可能性があります, 結果として, 攻撃者は HTTP リクエストを送信して脆弱性をトリガーする可能性があります, CiscoTalosは言った.
Cisco Talos の研究者は、公開された API に誤って “ニュースレター” この関係により、サブスクライバーは機能にアクセスできるようになります, したがって、ニュースレターを作成したり、既存のものを変更したりできます.
サブスクリプション アカウント (メンバー) サイトのコンテンツを管理するために使用されるユーザー アカウントから完全に分離されており、完全に認証されていないユーザー以外はサイトにアクセスできません。, 研究者は言った. さらに, メンバー アカウントを作成するための管理アクションや承認は必要ありません。, メンバーのみがメールアドレスの更新を許可されている, 名前とニュースレターの購読.
“/members/api/member/ API エンドポイントが公開され、ユーザーがこれらのフィールドを取得/更新できるようになります, ただし、ニュースレターの関係を誤って含めると、メンバーはニュースレターの作成と変更に完全にアクセスできます, すべてのメンバーがデフォルトで購読しているシステム全体のデフォルトのニュースレターを含む,” 報告書は指摘しました.
他の, CVE-2022-41654 の脆弱性に起因するより深刻な問題は、, 意図的に, Ghost CMS では、Javascript をサイトのコンテンツに挿入できます。. 最も可能性が高い, これが可能なのは、当初の意図が信頼できるユーザーのみが JavaScript を挿入することであったためです。.
でも, ニュースレターには少なくとも 1 つのフィールドがあるため, この寛大なモデルを利用して、ニュースレター オブジェクトに格納された XSS を作成できます。. “これはより伝統的な保存された XSS であるため, デフォルトのニュースレターを編集してアカウントの作成をトリガーするには、適切な権限を持つユーザーが必要です,” 研究者 追加した.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: