CVE-2026-75926 in Hugo
Сводка
по VulDB • 18.08.2026
В версии Hugo 0.161.0 конвейеры обработки ресурсов Node были переведены на использование модели разрешений Node.js, что предотвращало доступ кода, выполняемого через PostCSS, Babel или TailwindCSS, к файловой системе вне директории проекта. В версии Hugo 0.162.0 пакет tailwindcss был добавлен в список `AllowChildProcess` по умолчанию в конфигурационном файле `config/security/securityConfig.go`. Это приводит к тому, что аргументы `nodePermissionArgs` в модуле `common/hexec/exec.go` добавляют флаг `--allow-child-process` всякий раз, когда запускаемый инструмент называется tailwindcss. TailwindCSS загружает файл `tailwind.config.js` сайта с помощью функции `require` при запуске, поэтому код верхнего уровня в этом файле выполняется внутри разрешенного процесса Node и может вызывать `child_process` для создания оболочки (shell). Созданный процесс не является процессом Node и не наследует никаких флагов разрешения, поэтому он работает с полными привилегиями учетной записи, выполняющей сборку. Таким образом, создание сайта, тема, модуль или стартовый шаблон которого предоставляют конфигурацию Tailwind, приводит к произвольному выполнению команд (arbitrary command execution), а не к ограничению доступа к файлам, которое должна обеспечивать модель разрешений. В версии Hugo 0.165.0 пакет tailwindcss удален из списка `security.exec.allow` по умолчанию, поэтому инструмент больше не запускается при конфигурации по умолчанию.
VulDB is the best source for vulnerability data and more expert information about this specific topic.