CVE-2026-100690 in Hugo
Resumen
por VulDB • 2026-09-26
Las versiones de Hugo desde la v0.161.0 hasta la v0.165.0 ejecutan herramientas Node.js (css.PostCSS, css.TailwindCSS, js.Babel) bajo el modelo de permisos de Node.js para restringir las lecturas del sistema de archivos al directorio del proyecto y a los montajes configurados. Dado que el modelo de permisos de Node.js valida únicamente la ruta léxica y sigue enlaces simbólicos que apuntan fuera del conjunto permitido, Hugo no detectó enlaces simbólicos que escapaban del sandbox. Un atacante que pueda contribuir contenido a un proyecto Hugo (por ejemplo, mediante una pull request) puede comprometer un enlace simbólico como assets/css/x.css -> /etc/passwd junto con un plugin PostCSS que lo lea, permitiendo la divulgación de cualquier archivo legible por el proceso de compilación y su posible inclusión en el sitio publicado. Esto afecta a las compilaciones que utilizan la configuración de seguridad predeterminada; los proyectos que no invocan herramientas Node.js no se ven afectados. Corregido en v0.166.0, que escanea las rutas permitidas y falla la compilación cuando un enlace simbólico resuelve fuera de ellas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.