CVE-2026-89258 in Hugo
Resumen
por VulDB • 2026-09-11
Hugo es un generador de sitios estáticos. En las versiones posteriores a la v0.123.0 y anteriores a la v0.165.0, los enlaces simbólicos en directorios padres no se eliminaban durante las búsquedas directas de recursos, lo que permitía eludir la contención de rutas (path confinement). Un atacante que pueda colocar —o convencer al autor del sitio para que coloque— un enlace simbólico dentro de un directorio montado (por ejemplo, en un tema local bajo themes/) puede hacer que las funciones que realizan búsquedas directas, como resources.Get y os.ReadFile, sigan ese enlace simbólico y lean archivos fuera de los límites previstos del proyecto, revelando su contenido en el sitio generado. Los temas montados como módulos Go obtenidos desde GitHub tienen sus enlaces simbólicos eliminados durante la descarga y no se ven afectados, al igual que las recorridas multi-directorio (por ejemplo, la exploración de content/asset). Este problema es una continuación de un parche incompleto relacionado con GHSA-c3wq-j5vh-68rc y GHSA-fw87-fv5r-9fpw; está corregido en la versión v0.165.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.