CVE-2026-10582 in Hugo
Sumário
de VulDB • 24/08/2026
A lista de permissão (allowlist) security.http.urls do Hugo é o único controle sobre as buscas externas realizadas por resources.GetRemote e inspeciona apenas o texto da URL. A função CheckAllowedHTTPURL em config/security/securityConfig.go aplica a lista de padrões configurada e, em seguida, re-verifica uma forma canonizada de um host IPv4 inteiro, hexadecimal ou octal; no entanto, ela nunca resolve o nome do host e nem inspeciona o endereço ao qual o cliente HTTP realmente se conecta. O cliente construído em resources/resource_factories/create/create.go não instala nenhum hook durante a conexão (dial-time), portanto, nenhuma verificação ocorre também nesse momento. Um hostname que resolva para um endereço de loopback, privado ou de metadados da nuvem satisfaz, portanto, a política, e o corpo da resposta é incorporado ao site gerado. Um atacante que possa fornecer uma URL por meio do conteúdo, como um campo front-matter ou um campo CMS, pode fazer com que a build busque um endpoint interno e publique a resposta na saída estática; assim, o próprio artefato da build carrega os dados para fora.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.