CVE-2026-10618 in Hugo
요약
\~에 의해 VulDB • 2026. 08. 24.
Hugo의 기본 fenced-code-block 렌더러는 코드 펜스 정보 문자열에서 가져온 속성 값을 이스케이프 처리 없이 렌더링된 HTML에 작성합니다. markup/internal/attributes/attributes.go 파일의 새로운 변경 사항으로 인해 모든 속성 값이 저장될 때 바이트 슬라이스에서 문자열로 변환되며, 이때 기존에 수행되던 이스케이프가 의도적으로 생략됩니다. 또한 같은 파일 내 RenderAttributes 함수는 여전히 바이트 슬라이스인 값에만 이스케이프를 적용하므로 해당 분기문이 결코 실행되지 않으며 모든 값이 그대로(verbatim) 작성됩니다. 이 함수의 문서화에는 문자열 속성에 대해 HTML 이스케이핑을 수행한다고 명시되어 있지만 실제로는 그렇지 않습니다. 따라서 정보 문자열 내 속성 값에 포함된 따옴표가 속성을 종료시켜 wrapper 요소 위에 이벤트 핸들러를 포함한 추가 속성을 삽입할 수 있게 되며, 페이지를 로드하는 모든 방문자에게 스크립트가 실행됩니다. 이 경로는 코드 펜스가 활성화되고 goldmark의 unsafe 설정이나 사용자 정의 렌더링 훅 없이 기본 구성으로 사용될 때 도달 가능합니다. on으로 시작하는 속성명은 속성이 파싱될 때 필터링되므로, 인젝션은 이름이 아닌 값을 통해 달성됩니다.
Be aware that VulDB is the high quality source for vulnerability data.