CVE-2026-53943: Ghost CMS: envenenamento de cache via cabeçalho x-ghost-preview
O Ghost, sistema de gerenciamento de conteúdo em Node.js, antes da 6.37.0 permitia que usuários não autenticados alterassem a resposta renderizada do frontend com o cabeçalho x-ghost-preview, que um cache compartilhado poderia entregar a outros visitantes. Quando frontend e painel administrativo usam o mesmo domínio, isso pode levar ao sequestro de contas da equipe. A falha foi corrigida na 6.37.0 e tem CVSS 3.1 de 9,6 (crítica).
Visão geral
A CVE-2026-53943 afeta o Ghost, sistema de gerenciamento de conteúdo em Node.js. Antes da versão 6.37.0, um usuário não autenticado podia enviar o cabeçalho x-ghost-preview e modificar a resposta renderizada do frontend. Quando o Ghost opera atrás de uma camada de cache compartilhada (CDN ou proxy reverso que entrega o mesmo conteúdo em cache a visitantes diferentes), essa saída de pré-visualização podia ser armazenada e entregue a quem acessasse a mesma página depois. A fraqueza é classificada como CWE-524. As informações vêm do aviso de segurança no GitHub.
Impacto
A CNA (GitHub) atribuiu CVSS 3.1 de 9,6 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H: acessível pela rede, baixa complexidade, sem privilégios, exigindo interação do usuário e com mudança de escopo. O cenário mais grave ocorre quando frontend e painel administrativo do Ghost ficam no mesmo domínio: segundo o aviso, a falha pode ser usada para assumir contas da equipe (staff). Com frontend e admin em domínios diferentes, as contas da equipe não ficam expostas, embora conteúdo envenenado ainda possa chegar aos visitantes em configurações de cache afetadas.
Produtos e versões afetados
- Ghost em versões anteriores à 6.37.0, quando implantado atrás de cache compartilhado entre visitantes.
- O limite inferior da faixa afetada não é informado no registro.
- Corrigido na 6.37.0.
Status de exploração
A vulnerabilidade não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o Ghost para a 6.37.0 ou posterior.
- Se a atualização não for imediata, ajuste a camada de cache para remover o cabeçalho x-ghost-preview vindo de clientes não confiáveis ou impedir que respostas influenciadas por ele sejam armazenadas e compartilhadas.
- Avalie publicar o painel administrativo em domínio separado do frontend público, o que, segundo o aviso, elimina a exposição das contas da equipe.
- Após corrigir, limpe os caches compartilhados para descartar entradas possivelmente envenenadas.
Orientações de detecção
- Analise logs do servidor web, proxy ou CDN em busca de requisições não autenticadas com o cabeçalho x-ghost-preview.
- Verifique se páginas públicas em cache exibem conteúdo inesperado de pré-visualização.
- Audite contas da equipe quanto a sessões, alterações de permissão ou de credenciais inesperadas, principalmente quando frontend e admin compartilham domínio.
Limitações das informações disponíveis
O registro não indica a primeira versão afetada, não traz dados estruturados de produtos afetados ou correções e não inclui EPSS nem SSVC. O NVD marca a entrada como Deferred. O mecanismo exato pelo qual a resposta envenenada permite o sequestro de contas não é detalhado.
Perguntas frequentes
Qual versão do Ghost corrige a CVE-2026-53943?
Segundo o aviso, a falha foi corrigida no Ghost 6.37.0.
Todos os sites Ghost estão em risco?
Depende da implantação: é preciso haver cache compartilhado entre visitantes, e o sequestro de contas da equipe só é possível quando frontend e painel administrativo usam o mesmo domínio.
A CVE-2026-53943 está sendo explorada?
Ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.