Ghost: ブックマークカードの画像経由でのXSS脆弱性
### 影響
Ghostでは、ブックマークカードを作成する際に、外部ウェブサイトから取得した画像以外のファイルが、ブックマークアイコンやサムネイルとして保存される可能性がありました。これにより、管理者を含むすべてのスタッフユーザーが、サイトのドメイン上で任意のHTMLをホストできるようになり、他のスタッフユーザーの管理者権限セッションが侵害される可能性がありました。
### 脆弱性のあるバージョン
この脆弱性は、Ghostのバージョン5.94.0から6.64.0までのバージョンに存在します。
### 修正
バージョン6.64.0には、この問題を修正するパッチが含まれています。
### アップデート方法
Dockerを使用している場合は、[Dockerの公式Ghostイメージはこちら](https://hub.docker.com/_/ghost)で確認できます。DockerベースのGhostインスタンスのアップデートについては、[こちら](https://docs.ghost.org/install/docker#updating-ghost)に記載されています。
Ghost-CLIでインストールしている場合は、[最新バージョンへのアップデート方法](https://docs.ghost.org/update)に関するドキュメントを参照してください。
### 参照
Ghostは、VinSOC Labsの[Thai Son Dinh](https://github.com/sondt99)氏と[白墨](https://github.com/5255fgh)氏が、この脆弱性を責任を持って報告してくれたことに感謝します。
### 詳細情報
このセキュリティに関する情報についてご質問やご意見がある場合は、[security@ghost.org](mailto:security@ghost.org)までメールでお問い合わせください。
影響を受けるパッケージ：
- npm (JavaScript) ghost: 影響を受けるバージョンは5.94.0以上、6.64.0未満。6.64.0で修正済み。