CVE-2026-89258 in Hugo
Résumé
par VulDB • 11/09/2026
Hugo est un générateur de sites statiques. Dans les versions postérieures à la v0.123.0 et antérieures à la v0.165.0, les liens symboliques (symlinks) situés dans des répertoires parents n'étaient pas supprimés lors des recherches directes de ressources, permettant ainsi de contourner l'isolement du chemin d'accès (path confinement). Un attaquant capable de placer — ou convaincant un auteur de site de placer — un lien symbolique à l'intérieur d'un répertoire monté (par exemple, dans un thème localisé sous themes/) peut amener des fonctions effectuant des recherches directes, telles que resources.Get et os.ReadFile, à suivre ce lien symbolique et à lire des fichiers situés en dehors des limites du projet prévu, divulguant ainsi leur contenu sur le site généré. Les thèmes montés en tant que modules Go récupérés depuis GitHub ont leurs liens symboliques supprimés lors du téléchargement et ne sont pas affectés ; de même, les parcours multi-répertoires (par exemple, la navigation dans content/asset) ne sont pas concernés. Cette vulnérabilité est une suite à un correctif incomplet liée aux GHSA-c3wq-j5vh-68rc et GHSA-fw87-fv5r-9fpw ; elle est corrigée dans la version v0.165.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.