CVE-2026-89258 in Hugo
الملخص
بحسب VulDB • 11/09/2026
Hugo هو مولد مواقع ثابتة (static site generator). في الإصدارات الأحدث من v0.123.0 والأقدم من v0.165.0، لم يتم إزالة الروابط الرمزية (symlinks) الموجودة في الدلائل الأب أثناء عمليات البحث المباشر عن الموارد، مما مكن من تجاوز قيود الحصر المساري (path confinement). يمكن للمهاجم الذي يستطيع وضع رابط رمزي داخل دليل مُحمّل (على سبيل المثال، ضمن سمة محلية vendored theme تحت themes/) أو إقناع مؤلف الموقع بوضعه، أن يتسبب في قيام الدوال التي تقوم بالبحث المباشر، مثل resources.Get و os.ReadFile، باتباع ذلك الرابط الرمزي وقراءة ملفات خارج حدود المشروع المقصودة، مما يؤدي إلى الكشف عن محتوياتها داخل الموقع المُنشأ. لا تتأثر السمات المُحمّلة كوحدات Go (Go modules) يتم جلبها من GitHub حيث تتم إزالة الروابط الرمزية أثناء التنزيل، ولا تتأثر عمليات التجول متعددة الدلائل (مثل تجول content/asset). هذه المشكلة هي متابعة لإصلاح غير مكتمل لـ GHSA-c3wq-j5vh-68rc و GHSA-fw87-fv5r-9fpw؛ وقد تم إصلاحها في الإصدار v0.165.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.