CVE-2026-50133
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Hugo przed wersją 0.162.0 akceptuje pliki treści w różnych formatach znaczników. Pliki mapowane na typ text/html (np. .html w /content) są emitowane bezpośrednio do renderowanej strony, co umożliwia atak XSS.
Ocena ryzyka
Organizacja używająca Hugo do generowania stron z treściami z niezaufanych źródeł jest narażona na trwały atak XSS, który może prowadzić do kradzieży danych sesji lub przejęcia kont użytkowników.
Rekomendacja
Należy natychmiast zaktualizować Hugo do wersji 0.162.0 lub nowszej, która zawiera poprawkę eliminującą podatność na XSS.
Oryginalny opis (angielski, źródło NVD)
Hugo is a static site generator. Prior to 0.162.0, Hugo accepts content files in several markup formats. Files mapped to the text/html media type (typically .html files under /content, or pages produced by a content adapter that sets content.mediaType = "text/html") had their body emitted verbatim into the rendered page. A site that ingests HTML content from an untrusted source could therefore be served stored cross-site scripting. This vulnerability is fixed in 0.162.0.