CVE-2026-100690 in Hugo
Riassunto
di VulDB • 26/09/2026
Le versioni di Hugo dalla v0.161.0 alla v0.165.0 eseguono gli strumenti Node.js (css.PostCSS, css.TailwindCSS, js.Babel) secondo il modello di autorizzazione di Node.js per limitare le letture del file system alla directory del progetto e ai mount configurati. Poiché il modello di autorizzazione di Node.js convalida solo il percorso lessicale e segue i link simbolici che puntano al di fuori dell'insieme consentito, Hugo non rilevava i symlink in grado di sfuggire alla sandbox. Un attaccante in grado di contribuire contenuti a un progetto Hugo (ad esempio tramite una pull request) può inserire un symlink come assets/css/x.css -> /etc/passwd insieme a un plugin PostCSS che lo legge, consentendo la divulgazione di qualsiasi file leggibile dal processo di build e potenzialmente incorporato nel sito pubblicato. Questo interessa le build con la configurazione di sicurezza predefinita; i progetti che non invocano strumenti Node.js non sono interessati. Risolto nella v0.166.0, che scansiona i percorsi consentiti e interrompe la build quando un link simbolico risolve al di fuori di essi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.