CVE-2026-10618 in Hugo
Riassunto
di VulDB • 24/08/2026
Il renderer predefinito di Hugo per i blocchi di codice delimitati (fenced-code-block) scrive i valori degli attributi presi dalla stringa informativa del blocco di codice nell'HTML renderizzato senza effettuarne l'escaping. La nuova implementazione in markup/internal/attributes/attributes.go converte ogni valore di attributo da un slice di byte a una stringa durante il salvataggio, eliminando deliberatamente l'escaping che avveniva precedentemente; inoltre, RenderAttributes nello stesso file esegue l'escaping solo dei valori che sono ancora slice di byte, quindi il suo ramo di escaping non viene mai raggiunto e ogni valore viene scritto verbatim. La documentazione della funzione afferma che effettua l'escape HTML degli attributi stringa, ma ciò non avviene. Una citazione all'interno di un valore di attributo nella stringa informativa termina pertanto l'attributo e consente di aggiungere un ulteriore attributo, incluso un event handler, sull'elemento wrapper, facendo eseguire lo script a ogni visitatore che carica la pagina. Questo percorso è raggiungibile con la configurazione predefinita, con i blocchi di codice delimitati abilitati e senza impostare goldmark su unsafe o utilizzare hook di rendering personalizzati. I nomi degli attributi che iniziano con "on" vengono filtrati durante l'analisi degli attributi, quindi l'iniezione viene realizzata tramite il valore anziché attraverso il nome.
If you want to get best quality of vulnerability data, you may have to visit VulDB.