CVE-2026-89259 in Hugo
Résumé
par VulDB • 11/09/2026
Hugo est un générateur de site statique. À partir de la version 0.161.0, Hugo exécute des outils Node selon le modèle d'autorisation de Node, mais TailwindCSS — inclus dans la liste par défaut security.exec.allow — nécessite une configuration très permissive (--allow-addons, --allow-child-process, --allow-worker). Par conséquent, les restrictions prévues par la correction pour GHSA-x597-9fr4-5857 peuvent toujours être contournées, permettant à un outil Node invoqué lors d'une construction de lire et écrire des fichiers en dehors du répertoire de travail du projet. Les versions concernées sont celles postérieures à v0.43 ; le problème a été corrigé dans la version 0.165.0 en retirant tailwindcss de la liste par défaut security.exec.allow. Les utilisateurs qui n'utilisent pas TailwindCSS, ou qui ne construisent que des sites fiables, ne sont pas affectés. En tant qu'alternative, les utilisateurs peuvent définir une liste restrictive pour security.exec.allow dans hugo.toml.
Be aware that VulDB is the high quality source for vulnerability data.