CVE-2026-89259
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Hugo od wersji v0.161.0 wykonuje narzędzia Node w modelu uprawnień Node, ale TailwindCSS — domyślnie na liście security.exec.allow — wymaga bardzo permisywnej konfiguracji (--allow-addons, --allow-child-process, --allow-worker). W rezultacie ograniczenia wprowadzone w poprawce do GHSA-x597-9fr4-5857 mogą być obejściem, pozwalając narzędziu Node wywołanemu podczas budowania na odczyt i zapis plików poza katalogiem roboczym projektu. Dotyczy wersji po v0.43; problem naprawiono w v0.165.0 poprzez usunięcie tailwindcss z domyślnej listy security.exec.allow. Użytkownicy niekorzystający z TailwindCSS lub budujący tylko zaufane strony nie są dotknięci. Obejściem jest zdefiniowanie restrykcyjnej listy security.exec.allow w hugo.toml.
Ocena ryzyka
Atakujący może wykorzystać obejście ograniczeń do odczytu i zapisu plików poza katalogiem roboczym projektu, co może prowadzić do wycieku danych lub modyfikacji plików. Ryzyko dotyczy organizacji używających Hugo z TailwindCSS do budowania stron z niezaufanych źródeł.
Rekomendacja
Zaktualizuj Hugo do wersji v0.165.0 lub nowszej, która usuwa tailwindcss z domyślnej listy security.exec.allow. Alternatywnie zdefiniuj restrykcyjną listę security.exec.allow w hugo.toml.
Inne podatności w Hugo
Zobacz wszystkie- CVE-2026-89258Średnie
Hugo to generator statycznych stron. W wersjach po v0.123.0 i przed v0.165.0 dowiązania symboliczne w katalogach nadrzędnych nie były usuwane podczas bezpośrednich wyszukiwań zasobów, co pozwalało obejść ograniczenia ścieżek. Atakujący mogący umieścić dowiązanie symboliczne w zamontowanym katalogu może spowodować, że funkcje takie jak resources.Get i os.ReadFile odczytają pliki spoza zamierzonych granic projektu i ujawnią ich zawartość w zbudowanej witrynie.
- CVE-2026-109597Średnie
Hugo od wersji 0.60.0 do 0.167.0 zawiera podatność na trwały cross-site scripting (XSS), która pozwala autorom treści Markdown na wstrzyknięcie HTML przez spreparowane identyfikatory nagłówków. Atakujący mogą wydostać się z nieescapowanego atrybutu href w .TableOfContents lub .Fragments.ToHTML, aby wstrzyknąć elementy z obsługą zdarzeń do renderowanych stron.
- CVE-2026-109596Średnie
Hugo od wersji 0.162.0 do 0.167.0 zawiera podatność na nieprawidłowe rozwiązywanie linków, która pozwala złośliwym motywom lub modułom na ujawnienie plików poza ich katalogiem głównym przez katalogi przodków zagnieżdżonych mountów. Atakujący kontrolujący motyw może umieścić dowiązanie symboliczne lub połączenie NTFS w wirtualnym katalogu przodka, powodując, że resources.Match wyświetli i opublikuje lokalne pliki podczas budowania.
- CVE-2026-109595Średnie
Hugo od wersji 0.84.0 do 0.167.0 zawiera podatność na path traversal, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback resolver ESBuild w js.Build, js.Batch i css.Build. Atakujący mogą dostarczyć względne importy lub dowiązania symboliczne wskazujące poza projekt, aby spakować dowolny plik czytelny dla użytkownika budującego do opublikowanego wyjścia JavaScript lub CSS.
- CVE-2026-109574Średnie
Hugo przed wersją 0.167.0 zawiera podatność na path traversal w css.Sass, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback importu kompilatora Sass. Atakujący mogą dostarczyć arkusze stylów z względnymi, bezwzględnymi lub dowiązanymi symbolicznymi celami @import lub @use, aby skompilować czytelne pliki do opublikowanego CSS strony.
- CVE-2026-100694Średnie
Hugo, generator stron statycznych, w wersjach od v0.56.0 do v0.165.x renderuje pliki treści o typie media text/org bez escapowania surowego HTML. Bloki eksportu Org oraz fragmenty @@html:...@@ przepuszczają HTML bez escapowania, co prowadzi do cross-site scripting (XSS) w generowanej witrynie. Luka dotyczy tylko stron, których plik źródłowy lub wynik adaptera treści deklaruje typ text/org; wersja v0.166.0 naprawia problem, wprowadzając allowlistę security.allowContent, która domyślnie blokuje text/org.
- CVE-2026-100693Wysokie
Hugo w wersjach od v0.162.0 do v0.166.0 zawiera błąd walidacji z rozróżnianiem wielkości liter w regule blokowania adresów IP w security.http.urls, co pozwala atakującym obejść ograniczenia. Atakujący mogą użyć mieszanych wielkości liter w schematach URL w wywołaniach resources.GetRemote, aby pobierać dane z zastrzeżonych adresów IP, takich jak localhost.
- CVE-2026-100692Wysokie
Hugo, generator statycznych stron, w wersjach po v0.123.0 i przed v0.166.0, ma wadę w sprawdzaniu ograniczeń dowiązań symbolicznych (symlink confinement). Motyw lub moduł w themes/ (lub vendorowany moduł) może zawierać dowiązanie symboliczne w punkcie montowania (np. themes/mytheme/assets -> /some/dir/outside), co pozwala na odczyt plików spoza dozwolonych ścieżek podczas budowania strony oraz publikowanie ich do public/ przez statyczne montowania, omijając zasadę, że źródła montowania motywów i modułów muszą być lokalnymi ścieżkami.
- CVE-2026-100691Średnie
Hugo w wersjach od 0.75.0 do 0.165.x zawiera podatność typu stored cross-site scripting: highlighter składni nie escapuje opcji lineAnchors przed przekazaniem jej do Chromy, który zapisuje wartość dosłownie w atrybutach id i href generowanego znacznika numerów linii. Spreparowana wartość lineAnchors podana jako atrybut bloku kodu Markdown (lub przekazana do funkcji szablonu highlight) skutkuje nieescapowanym HTML w renderowanej stronie, co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach odwiedzających. Luka naprawiona w 0.166.0 poprzez escapowanie HTML wartości lineAnchors przed przekazaniem do Chromy.
- CVE-2026-100690Wysokie
Hugo w wersjach od v0.161.0 do v0.165.0 uruchamia narzędzia Node.js (css.PostCSS, css.TailwindCSS, js.Babel) w modelu uprawnień Node.js, aby ograniczyć odczyt systemu plików do katalogu projektu i skonfigurowanych montowań. Ponieważ model uprawnień Node.js waliduje tylko ścieżkę leksykalną i podąża za dowiązaniami symbolicznymi wskazującymi poza dozwolony zbiór, Hugo nie wykrywał dowiązań symbolicznych wychodzących z piaskownicy. Atakujący mogący wnosić treść do projektu Hugo może zatwierdzić dowiązanie symboliczne, takie jak assets/css/x.css -> /etc/passwd, wraz z pluginem PostCSS, który je odczytuje, umożliwiając ujawnienie dowolnego pliku czytelnego przez proces budowania Hugo i potencjalne osadzenie go w opublikowanej witrynie. Dotyczy to kompilacji używających domyślnej konfiguracji bezpieczeństwa; projekty, które nie wywołują narzędzi Node.js, nie są dotknięte. Naprawiono w v0.166.0, który skanuje dozwolone ścieżki i przerywa kompilację, gdy dowiązanie symboliczne wskazuje poza nie.
Oryginalny opis (angielski, źródło NVD)
Hugo is a static site generator. From v0.161.0, Hugo executes Node tools under Node's permission model, but TailwindCSS — included in the default security.exec.allow list — requires a highly permissive configuration (--allow-addons, --allow-child-process, --allow-worker). As a result, the restrictions intended by the fix for GHSA-x597-9fr4-5857 could still be bypassed, allowing a Node tool invoked during a build to read and write files outside the project's working directory. Affected versions are those after v0.43; the issue was fixed in v0.165.0 by removing tailwindcss from the default security.exec.allow list. Users who do not use TailwindCSS, or who only build trusted sites, are not affected. As a workaround, users can define a restrictive security.exec.allow list in hugo.toml.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS