Ghost: Ghost管理APIにおける招待トークン情報の開示に関する注意
### 影響
スタッフユーザーが、スタッフ招待情報を閲覧する権限を持っている場合、未処理の招待の秘密トークンを特定できる可能性があります。これには、自身の権限よりも高い権限を持つ役割への招待も含まれます。これにより、スタッフユーザーは、未処理の招待を受け入れることで、自身の権限を昇格させることが可能になる可能性があります。
### 脆弱性のあるバージョン
この脆弱性は、Ghostのv4.39.0からv6.64.0までのバージョンに存在します。
### 修正
v6.64.0には、この問題に対する修正が含まれています。
### アップデート方法
Dockerを使用している場合は、[Dockerの公式Ghostイメージはこちら](https://hub.docker.com/_/ghost)で確認できます。DockerベースのGhostインスタンスのアップデートについては、[こちら](https://docs.ghost.org/install/docker#updating-ghost)に記載されています。
Ghost-CLIでインストールしている場合は、[最新バージョンへのアップデート方法](https://docs.ghost.org/update)に関するドキュメントを参照してください。
### 参照
Ghostは、この脆弱性を責任を持って報告してくれた[CoryRoo](https://github.com/CoryRoo)、Pedro Pinho、および[Nhat Anh Vu](https://github.com/nhattanhh)に感謝します。
### 詳細情報
この注意に関するご質問やご意見がありましたら、[security@ghost.org](mailto:security@ghost.org)までご連絡ください。
影響を受けるパッケージ：
- npm (JavaScript) ghost: 影響を受けるバージョンは、4.39.0以上、6.64.0未満。6.64.0で修正済み。