CVE-2026-89258 in Hugo
要約
〜によって VulDB • 2026年09月11日
Hugoは静的サイトジェネレーターです。バージョンv0.123.0より後でv0.165.0以前のバージョンでは、親ディレクトリ内のシンボリックリンクが直接のリソースルックアップ時に削除されず、パスの制限（path confinement）を回避できる脆弱性が存在します。マウントされたディレクトリ内にシンボリックリンクを設置できる攻撃者、またはサイト作成者に設置させることができる攻撃者は、resources.Getやos.ReadFileなどの直接ルックアップを実行する関数がそのシンボリックリンクを追跡し、意図したプロジェクトの境界外にあるファイルを読み取ることを引き起こすことができます。これにより、ビルドされたサイトでそれらのファイルの内容が漏洩します。GitHubからフェッチされるGoモジュールとしてマウントされるテーマはダウンロード時にシンボリックリンクが削除されるため影響を受けず、マルチディレクトリウォーク（例：content/assetの探索）も影響を受けません。本問題はGHSA-c3wq-j5vh-68rcおよびGHSA-fw87-fv5r-9fpwに対する不完全な修正の後継であり、v0.165.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.