CVE-2026-75926 in Hugo
요약
\~에 의해 VulDB • 2026. 08. 21.
Hugo 0.161.0은 Node.js 권한 모델 뒤에 노드 자산 파이프라인을 배치하여 PostCSS, Babel 또는 TailwindCSS를 통해 실행되는 코드가 프로젝트 디렉토리 외부의 파일 시스템에 접근하지 못하도록 했습니다. Hugo 0.162.0은 config/security/securityConfig.go에서 AllowChildProcess 기본값에 tailwindcss를 추가했으며, 이로 인해 common/hexec/exec.go의 nodePermissionArgs는 시작되는 도구가 tailwindcss로 이름 지워질 때마다 --allow-child-process를 붙입니다. TailwindCSS는 시작 시 require를 통해 사이트의 tailwind.config.js 파일을 로드하므로 해당 파일의 최상위 코드가 허용된 Node 프로세스 내에서 실행되어 child_process를 호출하여 셸을 생성할 수 있습니다. 이렇게 생성된 프로세스는 노드 프로세스가 아니며 권한 플래그를 상속받지 않으므로 빌드를 수행하는 계정의 전체 권한으로 실행됩니다. 따라서 테마, 모듈 또는 시작 템플릿이 Tailwind 구성 파일을 제공하는 사이트의 빌드는 허용 모델 도입 당시 강제하려 했던 제한된 파일 접근 대신 임의 명령 실행을 초래합니다. Hugo 0.165.0은 기본 security.exec.allow 목록에서 tailwindcss를 제거하여 해당 도구가 기본 구성으로 더 이상 시작되지 않도록 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.