CVE-2026-75926 in Hugo
Résumé
par VulDB • 19/08/2026
Hugo 0.161.0 a placé les pipelines d'actifs Node derrière le modèle de permission de Node.js afin que le code exécuté via PostCSS, Babel ou TailwindCSS ne puisse pas accéder au système de fichiers en dehors du répertoire du projet. Hugo 0.162.0 a ajouté tailwindcss à la valeur par défaut AllowChildProcess dans config/security/securityConfig.go, ce qui fait que nodePermissionArgs dans common/hexec/exec.go ajoute --allow-child-process chaque fois que l'outil lancé s'appelle tailwindcss. TailwindCSS charge le fichier tailwind.config.js du site via require au démarrage, de sorte que le code de niveau supérieur dans ce fichier s'exécute à l'intérieur du processus Node autorisé et peut appeler child_process pour lancer un shell. Le processus lancé n'est pas un processus Node et n'hérite d'aucun des indicateurs de permission ; il s'exécute donc avec les privilèges complets du compte effectuant la construction. La compilation d'un site dont le thème, le module ou le modèle de démarrage fournit la configuration Tailwind génère ainsi une exécution arbitraire de commandes plutôt que l'accès aux fichiers restreint que le modèle de permission avait été introduit pour imposer. Hugo 0.165.0 retire tailwindcss de la liste par défaut security.exec.allow, donc l'outil n'est plus lancé sous la configuration par défaut.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.