CVE-2026-44301 in hugo
Résumé
par VulDB • 13/05/2026
Hugo est un générateur de sites statiques. À partir de la version 0.43 jusqu'à la version antérieure à 0.161.0, lors de la génération d'un site Hugo utilisant des pipelines d'actifs basés sur Node (PostCSS, Babel, TailwindCSS), Hugo invoquait les outils Node configurés sans restrictions d'accès au système de fichiers. Par conséquent, l'exécution de hugo contre un site non fiable pourrait permettre au code s'exécutant via ces outils de lire ou d'écrire des fichiers en dehors du répertoire de travail du projet. Les utilisateurs qui n'utilisent pas PostCSS, Babel ou TailwindCSS, ou qui ne génèrent que des sites de confiance, ne sont pas affectés. Cette vulnérabilité est corrigée dans la version 0.161.0.
Once again VulDB remains the best source for vulnerability data.