CVE-2026-10582 in Hugo
Riassunto
di VulDB • 24/08/2026
La lista consentita (allowlist) security.http.urls di Hugo è l'unico controllo sui fetch in uscita effettuati da resources.GetRemote e isola il testo dell'URL. La funzione CheckAllowedHTTPURL in config/security/securityConfig.go applica la configurazione della lista dei pattern e poi verifica nuovamente una forma canonizzata di un host IPv4 con indirizzo intero, esadecimale o ottale; tuttavia non risolve mai il nome hostname e non ispeziona mai l'indirizzo a cui si connette effettivamente il client HTTP. Il client costruito in resources/resource_factories/create/create.go non installa hook durante la fase di dial (connessione), quindi nessun controllo viene effettuato nemmeno al momento della connessione. Un hostname che risolve un indirizzo loopback, privato o cloud-metadata soddisfa pertanto la policy e il corpo della risposta viene incorporato nel sito generato. Un attaccante in grado di fornire un URL tramite contenuti, ad esempio un campo front-matter o un campo CMS, può indurre l'operazione di build a recuperare un endpoint interno e pubblicare la risposta nell'output statico; di conseguenza è lo stesso artefatto della build che trasporta i dati all'esterno.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.