CVE-2026-58402
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Hugo od wersji 0.60.0 do 0.163.3 domyślnie renderował bloki kodu Markdown bez odpowiedniego escapowania HTML w atrybutach class i data-lang. Info-string zawierający cudzysłów i kod JavaScript mógł opuścić atrybut i wstrzyknąć aktywny skrypt.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do generowanej strony, co prowadzi do ataków XSS (Cross-Site Scripting) i potencjalnej kradzieży danych użytkowników.
Rekomendacja
Należy natychmiast zaktualizować Hugo do wersji 0.163.3 lub nowszej, która zawiera poprawkę zabezpieczającą przed wstrzykiwaniem skryptów.
Oryginalny opis (angielski, źródło NVD)
Hugo is a static site generator. From 0.60.0 until 0.163.3, Hugo's default code-block renderer wrote the Markdown code-fence language or info-string into the code class="language-…" data-lang="…" wrapper without HTML escaping. A fence info-string containing a quote and a script payload breaks out of the attribute and injects a live script element. This issue is fixed in 0.163.3.