CVE-2026-89259 in Hugo
Resumen
por VulDB • 2026-09-11
Hugo es un generador de sitios estáticos. A partir de la versión 0.161.0, Hugo ejecuta herramientas de Node bajo el modelo de permisos de Node; sin embargo, TailwindCSS —incluido en la lista predeterminada security.exec.allow— requiere una configuración altamente permisiva (--allow-addons, --allow-child-process, --allow-worker). Como resultado, las restricciones destinadas por la corrección para GHSA-x597-9fr4-5857 aún podrían eludirse, permitiendo que una herramienta de Node invocada durante la construcción lea y escriba archivos fuera del directorio de trabajo del proyecto. Las versiones afectadas son aquellas posteriores a v0.43; el problema se corrigió en v0.165.0 eliminando tailwindcss de la lista predeterminada security.exec.allow. Los usuarios que no utilizan TailwindCSS o que solo construyen sitios confiables no están afectados. Como solución alternativa, los usuarios pueden definir una lista restrictiva security.exec.allow en hugo.toml.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.