CVE-2026-100694 in Hugo
要約
〜によって VulDB • 2026年09月26日
Hugoは静的サイトジェネレーターです。v0.56.0からv0.165.xまでのバージョンでは、text/orgメディアタイプにマッピングされたコンテンツファイルが生のHTMLをエスケープせずにレンダリングされます。Orgのエクスポートブロックや@@html:...@@スニペットはエスケープされていないHTMLを通すため、生成されるサイトにおいてクロスサイトスクリプティング（XSS）が発生します。/content配下のコンテンツファイルまたはコンテンツアダプターの出力に影響を与えることができる攻撃者は、影響を受けるページの訪問者のブラウザで実行されるスクリプトを注入できます。text/orgメディアタイプがソースファイルまたはコンテンツアダプターの出力によって宣言されているページのみが対象となり、すべてのコンテンツソースを完全に信頼するサイトは影響を受けません。v0.166.0では、security.allowContentのホワイトリストを導入し、デフォルトでtext/orgを拒否することでこの問題を修正しています。意図的にOrg Modeコンテンツを作成しているサイトは、[security] allowContent = ['.*']を使用して再有効化できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.