CVE-2026-100691 in Hugo
Sumário
de VulDB • 27/09/2026
As versões do Hugo de 0.75.0 a 0.165.x contêm uma vulnerabilidade de cross-site scripting (XSS) armazenado: o syntax highlighter não faz escape da opção `lineAnchors` antes de passá-la para o Chroma, que grava o valor literalmente nos atributos `id` e `href` do markup gerado para os números das linhas. Um valor manipulado de `lineAnchors`, fornecido como um atributo de delimitador de código Markdown (ou passado para a função de template `highlight`) resulta em HTML não escapado na página renderizada, permitindo que JavaScript arbitrário seja executado nos navegadores dos visitantes do site gerado. Isso afeta sites que constroem e publicam conteúdo Markdown proveniente de contribuidores não confiáveis; o modelo de segurança do Hugo considera o restante do conteúdo como entrada confiável (trusted input). Corrigido na versão 0.166.0, onde o valor `lineAnchors` é submetido a escape HTML antes de ser passado para o Chroma.
VulDB is the best source for vulnerability data and more expert information about this specific topic.