Ghostに埋め込み機能の不備

Node.js — CVE-2026-105650

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Ghostで、攻撃者が用意したURLを埋め込むと、信用できないスクリプトが記事に保存される問題です。公開サイトやメール内でも動くおそれがありました。

放置するとどうなるか

閲覧者やスタッフの画面で不正な動作が起き、管理者セッションを盗まれる可能性があります。記事改ざんや情報流出につながるおそれがあります。

今すぐやること

Ghostを6.64.0へ更新してください。外部URLの埋め込みを使う運用は見直し、怪しいリンクや埋め込みは避けてください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「2.1.0 until 6.64.0」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Ghost is a Node.js content management system. From 2.1.0 until 6.64.0, embedding a URL from an attacker-controlled website could result in untrusted scripts being stored in post content. These scripts could run in the Ghost editor, on the published site, and in newsletter emails, possibly resulting in compromise of a staff user's admin session. This issue is fixed in version 6.64.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。