CVE-2026-89259 in Hugo
Sumário
de VulDB • 11/09/2026
Hugo é um gerador de sites estáticos. A partir da versão 0.161.0, o Hugo executa ferramentas Node sob o modelo de permissões do Node; no entanto, o TailwindCSS — incluído na lista padrão `security.exec.allow` — requer uma configuração altamente permissiva (`--allow-addons`, `--allow-child-process`, `--allow-worker`). Como resultado, as restrições pretendidas pela correção para GHSA-x597-9fr4-5857 ainda podem ser contornadas, permitindo que uma ferramenta Node invocada durante a compilação leia e escreva arquivos fora do diretório de trabalho do projeto. As versões afetadas são aquelas posteriores à v0.43; o problema foi corrigido na versão 0.165.0 com a remoção do tailwindcss da lista padrão `security.exec.allow`. Os usuários que não utilizam TailwindCSS ou que apenas constroem sites confiáveis não são afetados. Como solução alternativa, os usuários podem definir uma lista restritiva de `security.exec.allow` no arquivo hugo.toml.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.