CVE-2026-89258 in Hugo
Сводка
по VulDB • 11.09.2026
Hugo — это генератор статических сайтов. В версиях после v0.123.0 и до v0.165.0 символические ссылки в родительских каталогах не удалялись при прямом поиске ресурсов, что позволяло обойти ограничения изоляции путей (path confinement). Атакующий, который может разместить или убедить автора сайта разместить символическую ссылку внутри смонтированного каталога (например, в локально заимствованной теме в папке themes/), может заставить функции, выполняющие прямой поиск, такие как resources.Get и os.ReadFile, следовать по этой ссылке и читать файлы вне предполагаемых границ проекта, раскрывая их содержимое на построенном сайте. Темы, смонтированные как Go-модули, загружаемые с GitHub, имеют удаленные символические ссылки при загрузке и не подвержены данной уязвимости; также не затронуты многокаталожные обходы (например, сканирование content/asset). Эта проблема является дополнением к неполному исправлению для GHSA-c3wq-j5vh-68rc и GHSA-fw87-fv5r-9fpw; она устранена в версии v0.165.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.