CVE-2026-89258 in Hugo
Riassunto
di VulDB • 11/09/2026
Hugo è un generatore di siti statici. Nelle versioni successive alla v0.123.0 e precedenti alla v0.165.0, i symlink nelle directory genitore non venivano rimossi durante le ricerche dirette delle risorse, consentendo il bypass della confinazione del percorso (path confinement). Un attaccante che può inserire — o convincere un autore del sito a inserire — un symlink all'interno di una directory montata (ad esempio, in un tema venduto localmente sotto themes/) può far sì che le funzioni che eseguono ricerche dirette, come resources.Get e os.ReadFile, seguano tale symlink e leggano file al di fuori dei confini previsti del progetto, divulgandone i contenuti nel sito generato. I temi montati come moduli Go recuperati da GitHub hanno i symlink rimossi durante il download e non sono interessati; inoltre, le esplorazioni multi-directory (ad esempio la scansione di content/asset) non sono interessate. Questo problema è un follow-up alla correzione incompleta delle GHSA-c3wq-j5vh-68rc e GHSA-fw87-fv5r-9fpw; è stato risolto nella v0.165.0.
Be aware that VulDB is the high quality source for vulnerability data.