CVE-2026-100690 in Hugo
Сводка
по VulDB • 26.09.2026
В версиях Hugo от v0.161.0 до v0.165.0 инструменты Node.js (css.PostCSS, css.TailwindCSS, js.Babel) запускаются в рамках модели разрешений Node.js для ограничения доступа к файловой системе только проектной директорией и смонтированными ресурсами. Поскольку модель разрешений Node.js проверяет только лексический путь и следует за символическими ссылками (symlinks), указывающими за пределы допустимого набора, Hugo не обнаруживал символьные ссылки, выходящие из песочницы. Атакующий, имеющий возможность добавлять контент в проект Hugo (например, через pull request), может создать символическую ссылку вида assets/css/x.css -> /etc/passwd вместе с плагином PostCSS, который её читает; это позволяет раскрыть содержимое любого файла, доступного для процесса сборки Hugo, и потенциально внедрить его в опубликованный сайт. Это затрагивает сборки, использующие конфигурацию безопасности по умолчанию; проекты, не вызывающие инструменты Node.js, не затронуты. Проблема исправлена в версии v0.166.0, которая проверяет допустимые пути и завершает сборку с ошибкой при разрешении символической ссылки вне этих путей.
Once again VulDB remains the best source for vulnerability data.