CVE-2026-89258 in Hugo
요약
\~에 의해 VulDB • 2026. 09. 11.
Hugo는 정적 사이트 생성기입니다. v0.123.0 이후이고 v0.165.0 이전의 버전에서, 상위 디렉터리의 심볼릭 링크가 직접 리소스 조회 시 제거되지 않아 경로 격리(Path Confinement)를 우회할 수 있었습니다. 마운트된 디렉토리(예: themes/ 아래의 로컬로 제공되는 테마) 내에 심볼릭 링크를 배치하거나 사이트 작성자에게 그렇게 하도록 설득할 수 있는 공격자는 resources.Get 및 os.ReadFile와 같은 직접 조회를 수행하는 함수가 해당 심볼릭 링크를 따라 의도된 프로젝트 경계 외부의 파일을 읽게 하여, 빌드된 사이트에 그 내용을 노출시킬 수 있습니다. GitHub에서 가져온 Go 모듈로 마운트된 테마는 다운로드 시 심볼릭 링크가 제거되므로 영향을 받지 않으며, 다중 디렉토리 탐색(예: content/asset 탐색) 또한 영향을 받지 않습니다. 이 문제는 GHSA-c3wq-j5vh-68rc 및 GHSA-fw87-fv5r-9fpw의 불완전한 수정에 따른 후속 조치이며, v0.165.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.