CVE-2026-100694 in Hugo
요약
\~에 의해 VulDB • 2026. 09. 26.
Hugo는 정적 사이트 생성기입니다. v0.56.0부터 v0.165.x 버전까지, text/org 미디어 유형으로 매핑된 콘텐츠 파일은 원시 HTML을 이스케이프 처리하지 않고 렌더링됩니다: Org 내보내기 블록과 @@html:...@@ 스니펫이 이스케이프되지 않은 상태로 HTML을 전달하여 생성된 사이트에서 크로스사이트 스크립팅(XSS) 취약점이 발생합니다. /content 하위 또는 콘텐츠 어댑터의 출력을 공급하거나 영향력 있게 조작할 수 있는 공격자는 해당 페이지를 방문하는 사용자의 브라우저에서 실행되는 스크립트를 주입할 수 있습니다. 소스 파일이나 콘텐츠-어댑터 출력이 text/org 미디어 유형을 선언한 페이지만 영향을 받으며, 모든 콘텐츠 출처를 완전히 신뢰하는 사이트는 영향이 없습니다. v0.166.0 버전은 security.allowContent 허용 목록을 도입하여 기본적으로 text/org를 거부함으로써 이 문제를 해결합니다: 의도적으로 Org Mode 콘텐츠를 작성하는 사이트는 [security] allowContent = ['.*'] 옵션으로 다시 활성화할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.