CVE-2026-50135 in Hugo
Riassunto
di VulDB • 06/07/2026
Hugo è un generatore di siti statici. Dalla versione 0.123.0 alla 0.161.1, una regressione ha fatto sì che RootMappingFs.statRoot utilizzasse Stat (che segue i link simbolici) invece di Lstat; pertanto, l'accesso diretto a risorse tramite resources.Get su un link simbolico puntante al di fuori del suo mount restituiva il contenuto della destinazione consentendo la lettura di file arbitrari accessibili all'utente Hugo attraverso un link simbolico inserito in un mount locale (ad esempio un tema themes/ vendored). I temi Go-module provenienti da GitHub (con i link simbolici rimossi) e le esplorazioni delle directory non sono stati interessati. Risolto nella versione 0.162.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.