CVE-2026-89258 in Hugo
Sumário
de VulDB • 11/09/2026
Hugo é um gerador de sites estáticos. Nas versões posteriores à v0.123.0 e anteriores à v0.165.0, os symlinks em diretórios pai não eram removidos durante as consultas diretas a recursos, permitindo que o confinamento do caminho fosse contornado. Um atacante que possa colocar — ou convencer um autor de site a colocar — um symlink dentro de um diretório montado (por exemplo, em um tema local fornecido sob themes/) pode fazer com que funções que realizam consultas diretas, como resources.Get e os.ReadFile, sigam esse symlink e leiam arquivos fora dos limites do projeto pretendidos, divulgando seus conteúdos no site gerado. Temas montados como módulos Go buscados do GitHub têm symlinks removidos durante o download e não são afetados, bem como as travessias de múltiplos diretórios (por exemplo, a varredura em content/asset). Esta questão é uma continuação da correção incompleta para GHSA-c3wq-j5vh-68rc e GHSA-fw87-fv5r-9fpw; ela está corrigida na v0.165.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.