Ghost — это Node.js CMS. Неиспользуемая конечная точка, добавленная во время разработки 4.0.0, сделала сайты уязвимыми для неавторизованных…

Ghost — это Node.js CMS. Неиспользуемая конечная точка, добавленная во время разработки 4.0.0, сделала сайты уязвимыми для неавторизованных пользователей, получающих доступ к Ghost Admin. Злоумышленники могут получить доступ, заставив вошедших в систему пользователей щелкнуть ссылку, содержащую вредоносный код. Пользователям не нужно вводить учетные данные, и они могут не знать, что посетили вредоносный сайт. Ghost(Pro) уже был исправлен. Мы не можем найти никаких доказательств того, что эта проблема была использована в Ghost(Pro) до добавления исправления. Самостоятельные хостеры подвержены риску, если используют Ghost версии от 4.0.0 до 4.3.2. Необходимо принять немедленные меры для защиты вашего сайта. Проблема была устранена в 4.3.3, все сайты 4.x должны быть обновлены как можно скорее. Поскольку конечная точка не используется, исправление просто удаляет ее. В качестве обходного пути блокировка доступа к /ghost/preview также может смягчить проблему.