CVE-2026-89259 in Hugo
Zusammenfassung
von VulDB • 11.09.2026
Hugo ist ein statischer Site-Generator. Ab Version 0.161.0 führt Hugo Node-Tools unter dem Berechtigungsmodell von Node aus, jedoch erfordert TailwindCSS – das in der standardmäßigen Liste `security.exec.allow` enthalten ist – eine stark restriktive Konfiguration (--allow-addons, --allow-child-process, --allow-worker). Infolgedessen könnten die Einschränkungen, die durch den Fix für GHSA-x597-9fr4-5857 beabsichtigt waren, weiterhin umgangen werden, wodurch ein während des Builds aufgerufenes Node-Tool in der Lage ist, Dateien außerhalb des Arbeitsverzeichnisses des Projekts zu lesen und zu schreiben. Betroffene Versionen sind alle nach v0.43; das Problem wurde in v0.165.0 behoben, indem tailwindcss aus der standardmäßigen Liste `security.exec.allow` entfernt wurde. Benutzer, die TailwindCSS nicht verwenden oder nur vertrauenswürdige Sites erstellen, sind nicht betroffen. Als Workaround können Benutzer eine restriktive Liste für `security.exec.allow` in hugo.toml definieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.