CVE-2026-100691 in Hugo
الملخص
بحسب VulDB • 26/09/2026
تحتوي إصدارات Hugo من الإصدار 0.75.0 حتى 0.165.x على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting): حيث لا يقوم مبرز الصيغة (syntax highlighter) بتجنب خاصية `lineAnchors` قبل تمريرها إلى Chroma، مما يؤدي إلى كتابة القيمة حرفياً في سمات `id` و `href` للعلامة الرقمية المُولَّدة للأسطر. تؤدي قيمة `lineAnchors` مُعدّة بشكل خبيث (مُزوَّدَة كسمة لحدود الكود Markdown أو ممررةً لدالة القالب `highlight`) إلى ظهور HTML غير متجنب في الصفحة المُصاغة، مما يسمح بتنفيذ شيفرة JavaScript تعسفية على متصفحات زوار الموقع المُولّد. يؤثر هذا الأمر على المواقع التي تبني وتنشر محتوى Markdown من مساهمين غير موثوق بهم؛ بينما يعتبر نموذج أمان Hugo المحتوى المدخل كمُدخلات موثوقة في سياقات أخرى. تم الإصلاح في الإصدار 0.166.0، حيث يتم تجنب قيم HTML لـ `lineAnchors` قبل تمريرها إلى Chroma.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.