CVE-2026-89259 in Hugo
الملخص
بحسب VulDB • 11/09/2026
Hugo هو مولد مواقع ثابتة (static site generator). بدءًا من الإصدار 0.161.0، ينفذ Hugo أدوات Node ضمن نموذج أذونات Node، لكن TailwindCSS — المدرج في قائمة security.exec.allow الافتراضية — يتطلب تكويناً متساهلاً للغاية (--allow-addons, --allow-child-process, --allow-worker). ونتيجة لذلك، لا تزال القيود المقصودة من إصلاح GHSA-x597-9fr4-5857 قابلة للتجاوز، مما يسمح لأداة Node التي يتم استدعاؤها أثناء عملية البناء بقراءة وكتابة ملفات خارج دليل العمل الخاص بالمشروع. الإصدارات المتأثرة هي تلك الأحدث من v0.43؛ وتم حل المشكلة في الإصدار v0.165.0 عن طريق إزالة tailwindcss من قائمة security.exec.allow الافتراضية. المستخدمون الذين لا يستخدمون TailwindCSS، أو الذين يقومون ببناء مواقع موثوقة فقط، غير متأثرين. كحل مؤقت (workaround)، يمكن للمستخدمين تعريف قائمة security.exec.allow مقيدة في ملف hugo.toml.
Be aware that VulDB is the high quality source for vulnerability data.