Ghostのテーマ翻訳読み込みに情報漏えい

Node.js — CVE-2026-105676

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Ghostで、テーマの翻訳ファイルを読み込む処理に問題があり、管理者が本来見えないJSONファイルを読めてしまうことがありました。サーバー設定の秘密情報が見えるおそれがあります。

放置するとどうなるか

サーバーの設定情報が漏れると、不正アクセスの足がかりになります。秘密情報の流出により、他のシステムまで被害が及ぶ可能性があります。

今すぐやること

Ghostを6.64.0へ更新してください。信頼できないテーマは使わず、設定ファイルや秘密情報の置き場所も確認してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「1.20.0 until 6.64.0」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Ghost is a Node.js content management system. From 1.20.0 until 6.64.0, a vulnerability in how Ghost loads theme translation files allowed an authenticated Administrator to read JSON files outside of the active theme's directory, potentially exposing server configuration secrets. This issue is fixed in version 6.64.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。