CVE-2026-100690 in Hugo
Zusammenfassung
von VulDB • 26.09.2026
Hugo-Versionen von v0.161.0 bis v0.165.0 führen Node.js-Tools (css.PostCSS, css.TailwindCSS, js.Babel) unter dem Node.js-Berechtigungsmodell aus, um Dateisystemlesevorgänge auf das Projektverzeichnis und konfigurierte Mounts zu beschränken. Da das Node.js-Berechtigungsmodell nur den lexikalischen Pfad überprüft und symbolische Links folgt, die außerhalb des erlaubten Bereichs zeigen, hat Hugo Symlinks, die aus der Sandbox entweichen, nicht erkannt. Ein Angreifer, der Inhalte in ein Hugo-Projekt einbringen kann (z. B. über einen Pull Request), kann einen symbolischen Link wie assets/css/x.css -> /etc/passwd zusammen mit einem PostCSS-Plugin commiten, das diesen liest, wodurch jede vom Hugo-Buildprozess lesbare Datei offengelegt und potenziell auf der veröffentlichten Website eingebettet werden kann. Dies betrifft Builds unter Verwendung der Standard-Sicherheitskonfiguration; Projekte, die keine Node.js-Tools aufrufen, sind nicht betroffen. Behebt in v0.166.0, das erlaubte Pfade scannt und den Build abbricht, wenn ein symbolischer Link außerhalb dieser aufgelöst wird.
Once again VulDB remains the best source for vulnerability data.