CVE-2026-53950
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 — wyżej niż 10% wszystkich znanych CVE
Streszczenie
Klient ActivityPub w aplikacji Ghost był podatny na wstrzykiwanie JavaScript w postach udostępnianych przez złośliwie skonfigurowany serwer ActivityPub przed wersją 3.1.0. Ta podatność została naprawiona w wersji 3.1.0.
Ocena ryzyka
Złośliwy serwer ActivityPub mógłby wstrzykiwać złośliwy kod JavaScript do postów, co mogłoby prowadzić do poważnych zagrożeń dla bezpieczeństwa użytkowników i danych.
Rekomendacja
Zaleca się aktualizację do wersji 3.1.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
@tryghost/activitypub is Ghost’s social/federation client app. Prior to 3.1.0, the ActivityPub client in Ghost was vulnerable to JavaScript injection on posts shared by a maliciously customised ActivityPub server. This vulnerability is fixed in 3.1.0.