CVE-2026-50134
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W Hugo od wersji 0.91.0 do 0.162.0 funkcja resources.GetRemote nie ponownie weryfikuje docelowych adresów URL po przekierowaniach HTTP 3xx, co pozwala na ominięcie polityki bezpieczeństwa security.http.urls. Atakujący może przekierować żądanie do zabronionego hosta, a Hugo pobierze z niego zasoby.
Ocena ryzyka
Organizacja może nieświadomie pobierać treści z niezaufanych lub zabronionych serwerów, co prowadzi do naruszenia polityki bezpieczeństwa i potencjalnego wstrzyknięcia złośliwych danych do generowanej strony.
Rekomendacja
Należy natychmiast zaktualizować Hugo do wersji 0.162.0 lub nowszej, która zawiera poprawkę ponownie weryfikującą adresy URL po przekierowaniach.
Oryginalny opis (angielski, źródło NVD)
Hugo is a static site generator. From 0.91.0 until 0.162.0, resources.GetRemote enforces security.http.urls on the URL it is called with, but it did not re-validate intermediate URLs on HTTP 3xx redirects. An allowed server (or an attacker controlling its DNS or response) could therefore redirect the request to a host that the policy was meant to forbid and Hugo would fetch from the redirected target. The same bypass also lifted any host-shape restriction the operator had put in place. This vulnerability is fixed in 0.162.0.