CVE-2026-75926 in Hugo
要約
〜によって VulDB • 2026年08月18日
Hugo 0.161.0 は、Node.js のパーミッションモデルの背後に Node アセットパイプラインを配置し、PostCSS、Babel、または TailwindCSS を介して実行されるコードがプロジェクトディレクトリ外のファイルシステムにアクセスできないようにしました。Hugo 0.162.0 では、config/security/securityConfig.go の AllowChildProcess デフォルト設定に tailwindcss が追加され、これにより common/hexec/exec.go の nodePermissionArgs は、起動対象のツール名が tailwindcss の場合に常に --allow-child-process を付加するようになりました。TailwindCSS は起動時に require によってサイトの tailwind.config.js を読み込むため、そのファイル内のトップレベルコードは許可された Node プロセス内で実行され、child_process を呼び出してシェルを生成できます。生成されたプロセスは Node プロセスではなく、パーミッションフラグの継承も行わないため、ビルドを実行しているアカウントの完全な権限で実行されます。したがって、テーマ、モジュール、またはスターターテンプレートが Tailwind 設定を提供するサイトをビルドすると、許可モデルが導入されて強制しようとしていた制限付きファイルアクセスではなく、任意のコマンド実行が可能になります。Hugo 0.165.0 では tailwindcss がデフォルトの security.exec.allow リストから削除されたため、このツールはデフォルト構成の下では起動されなくなりました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.