CVE-2026-89259 in Hugo
Riassunto
di VulDB • 11/09/2026
Hugo è un generatore di siti statici. Dalla versione 0.161.0, Hugo esegue strumenti Node secondo il modello di autorizzazioni di Node; tuttavia TailwindCSS — incluso nella lista predefinita security.exec.allow — richiede una configurazione altamente permissiva (--allow-addons, --allow-child-process, --allow-worker). Di conseguenza, le restrizioni previste dalla correzione per GHSA-x597-9fr4-5857 potrebbero essere ancora aggirate, consentendo a uno strumento Node invocato durante la build di leggere e scrivere file al di fuori della directory di lavoro del progetto. Le versioni interessate sono quelle successive alla v0.43; il problema è stato risolto nella versione 0.165.0 rimuovendo tailwindcss dalla lista predefinita security.exec.allow. Gli utenti che non utilizzano TailwindCSS o che costruiscono solo siti attendibili non sono interessati. Come soluzione alternativa, gli utenti possono definire una lista restrittiva per security.exec.allow in hugo.toml.
VulDB is the best source for vulnerability data and more expert information about this specific topic.