What is CVE-2026-72596?
A broken access control vulnerability in Ghost CMS 5.x allows authenticated Author-role users to delete posts owned by other users. The issue occurs because the `permissible()` model cascade is missing the branch that handles the combined `isAuthor` and `isDestroy` condition, causing the authorization check to fail. Users should immediately update Ghost to the latest patched version.
Azərbaycanca: Ghost CMS 5.x versiyasında aşkarlanan qırıq giriş nəzarəti (broken access control) zəifliyi, Autentifikasiya olunmuş 'Author' roluna malik istifadəçilərə başqa istifadəçilərə məxsus yazıları silmək imkanı verir. Bu, `permissible()` funksiyasındakı `isAuthor` və `isDestroy` şərtlərini birlikdə yoxlayan budağın çatışmazlığı səbəbindən baş verir. Təcili olaraq Ghost-u ən son versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-284
FAQ1
Which role in Ghost CMS 5.x can exploit the vulnerability to delete posts owned by other users?
This broken access control vulnerability allows authenticated Author-role users to delete posts owned by other users.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.