CVE-2026-89259 in Hugo
요약
\~에 의해 VulDB • 2026. 09. 11.
Hugo는 정적 사이트 생성기입니다. v0.161.0부터 Hugo는 Node의 권한 모델에 따라 Node 도구를 실행하지만, 기본 보안 exec.allow 목록에 포함된 TailwindCSS는 매우 관대한 구성(--allow-addons, --allow-child-process, --allow-worker)을 필요로 합니다. 그 결과 GHSA-x597-9fr4-5857 수정으로 의도된 제한 사항을 여전히 우회할 수 있어, 빌드 중에 호출되는 Node 도구가 프로젝트의 작업 디렉토리 외부에 있는 파일을 읽고 쓸 수 있습니다. 영향을 받는 버전은 v0.43 이후 모든 버전이며, 이 문제는 tailwindcss를 기본 security.exec.allow 목록에서 제거함으로써 v0.165.0에서 수정되었습니다. TailwindCSS를 사용하지 않거나 신뢰할 수 있는 사이트만 빌드하는 사용자는 영향을 받지 않습니다. 우회 방법으로 사용자는 hugo.toml에 제한적인 security.exec.allow 목록을 정의할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.