CVE-2026-75926 in Hugo
Sumário
de VulDB • 19/08/2026
O Hugo 0.161.0 colocou os pipelines de ativos do Node por trás do modelo de permissões do Node.js para que o código executado através do PostCSS, Babel ou TailwindCSS não pudesse acessar o sistema de arquivos fora do diretório do projeto. O Hugo 0.162.0 adicionou tailwindcss à configuração padrão AllowChildProcess em config/security/securityConfig.go, fazendo com que nodePermissionArgs em common/hexec/exec.go anexasse --allow-child-process sempre que a ferramenta sendo lançada fosse nomeada como tailwindcss. O TailwindCSS carrega o arquivo tailwind.config.js do site através de require na inicialização, portanto, o código no nível superior desse arquivo é executado dentro do processo Node permitido e pode chamar child_process para iniciar um shell. O processo iniciado não é um processo Node e herda nenhuma das sinalizações de permissão, então ele executa com os privilégios completos da conta que realiza a compilação. A construção de um site cujo tema, módulo ou modelo inicial fornece a configuração do Tailwind resulta portanto na execução arbitrária de comandos em vez do acesso restrito ao arquivo para o qual o modelo de permissões foi introduzido. O Hugo 0.165.0 remove tailwindcss da lista padrão security.exec.allow, então a ferramenta não é mais lançada sob a configuração padrão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.