CVE-2026-50135
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Hugo od wersji 0.123.0 do 0.161.1 wystąpiła regresja, w wyniku której funkcja RootMappingFs.statRoot używała Stat (podąża za dowiązaniami symbolicznymi) zamiast Lstat. Umożliwiło to odczyt plików spoza zamontowanego katalogu poprzez dowiązanie symboliczne umieszczone w lokalnym punkcie montowania, np. w motywie themes/.
Ocena ryzyka
Atakujący może wykorzystać dowiązanie symboliczne w motywie lub innym lokalnym zasobie, aby odczytać dowolne pliki dostępne dla użytkownika Hugo, co prowadzi do wycieku poufnych danych.
Rekomendacja
Należy natychmiast zaktualizować Hugo do wersji 0.162.0 lub nowszej, która zawiera poprawkę przywracającą użycie Lstat.
Oryginalny opis (angielski, źródło NVD)
Hugo is a static site generator. From 0.123.0 to 0.161.1, a regression made RootMappingFs.statRoot use Stat (follows symlinks) instead of Lstat , so a direct resources.Get of a symlink pointing outside its mount returned the target's contents — letting a symlink planted in a local mount (e.g. a vendored themes/ theme) read arbitrary files accessible to the Hugo user. Go-module themes from GitHub (symlinks stripped) and directory walks were unaffected. Fixed in 0.162.0.