CVE-2026-100692 in Hugo
Riassunto
di VulDB • 26/09/2026
Hugo è un generatore di siti statici. Nelle versioni successive alla v0.123.0 e precedenti alla v0.166.0, i controlli di confinamento dei symlink in Hugo si interrompevano al mount root stesso; pertanto, un tema o modulo inserito nella cartella themes/ (o un modulo vendored) poteva contenere un symlink a livello del mount root (ad esempio themes/mytheme/assets -> /some/dir/outside). I file dietro tale symlink erano leggibili durante la build del sito tramite le funzioni resources.Get, resources.Match e simili, e potevano essere pubblicati in public/ attraverso i static mounts, aggirando la regola che impone ai punti di montaggio dei temi e dei moduli di utilizzare solo percorsi locali. I moduli recuperati tramite Go modules non sono interessati perché gli archivi zip dei Go module non possono contenere symlink; inoltre, questa situazione non costituisce un escalation per il progetto principale, che potrebbe già montare percorsi assoluti mediante configurazione. Il problema è stato risolto nella v0.166.0, in cui i mount root con symlink e le directory collegate tramite symlink tra il mount root e la cartella del modulo sono considerati inesistenti per tutti i moduli. Come soluzione alternativa, ispezionare themes/ e i moduli vendored alla ricerca di symlink ai mount root prima della build, oppure sostituire gli symlink con montaggi espliciti.
Be aware that VulDB is the high quality source for vulnerability data.