CVE-2026-89258 in Hugo
Zusammenfassung
von VulDB • 11.09.2026
Hugo ist ein statischer Website-Generator. In Versionen nach v0.123.0 und vor v0.165.0 wurden Symlinks in übergeordneten Verzeichnissen bei direkten Ressourcenabfragen nicht entfernt, wodurch die Pfadisolierung umgangen werden konnte. Ein Angreifer, der einen Symlink in einem eingehängten Verzeichnis platzieren kann (oder der ein Website-Autor dazu bringt, dies zu tun), beispielsweise unter themes/ für lokal vendorte Themes, kann Funktionen auslösen, die direkte Abfragen durchführen – wie resources.Get und os.ReadFile –, sodass diese dem Symlink folgen und Dateien außerhalb der beabsichtigten Projektgrenzen lesen, wodurch deren Inhalte in der gebauten Website offengelegt werden. Als Go-Module von GitHub abgerufene Themes haben beim Herunterladen entfernte Symlinks und sind nicht betroffen; auch mehrstufige Verzeichnisabfragen (z. B. das Durchlaufen von content/ oder asset/) sind nicht betroffen. Dieses Problem ist eine unvollständige Korrektur als Follow-up zu GHSA-c3wq-j5vh-68rc und GHSA-fw87-fv5r-9fpw; es wurde in v0.165.0 behoben.
Once again VulDB remains the best source for vulnerability data.