CVE-2026-53946

Ghost bir Node.js içerik yönetim sistemidir. 6.19.4 ile 6.21.1 sürümleri arasında, yazılar yeniden işlenirken Ghost, eksik resim boyutlarını, bir resim kartında kayıtlı olan URL'ye giden bir dış HTTP isteği göndererek yeniden getiriyordu ve bu URL'yi güvenilir resim ana bilgisayarlarıyla sınırlandırmıyordu. Bu nedenle, yazı oluşturabilen veya düzenleyebilen kimliği doğrulanmış bir personel kullanıcısı, bir resim kartını saldırgan tarafından seçilen bir ana bilgisayara yönlendirebilir ve Ghost sunucusunun; dahili ağlardaki ana bilgisayarlar veya normalde genel internetten erişilemeyen bulut örneği meta veri uç noktaları da dahil olmak üzere, kendi adına istek göndermesine neden olabilirdi. Bu güvenlik açığı 6.21.1 sürümünde giderilmiştir.