CVE-2026-100690 in Hugo
Tóm tắt
Bởi VulDB • 26/09/2026
Các phiên bản Hugo từ v0.161.0 đến v0.165.0 chạy các công cụ Node.js (css.PostCSS, css.TailwindCSS, js.Babel) theo mô hình quyền hạn của Node.js để giới hạn việc đọc hệ thống tệp chỉ trong thư mục dự án và các điểm gắn kết đã cấu hình. Do mô hình quyền hạn của Node.js chỉ xác thực đường dẫn lexical và tuân theo các liên kết tượng trưng (symbolic links) trỏ ra ngoài tập hợp được cho phép, Hugo không phát hiện được các symlink thoát khỏi sandbox. Một kẻ tấn công có thể đóng góp nội dung vào một dự án Hugo (ví dụ: qua pull request) có thể commit một symlink như assets/css/x.css -> /etc/passwd cùng với một plugin PostCSS đọc nó, cho phép tiết lộ bất kỳ tệp nào mà quy trình build của Hugo có quyền đọc và tiềm ẩn nguy cơ nhúng chúng vào trang web đã xuất bản. Điều này ảnh hưởng đến các lần build sử dụng cấu hình bảo mật mặc định; các dự án không gọi các công cụ Node.js thì không bị ảnh hưởng. Lỗi được sửa trong v0.166.0, phiên bản quét các đường dẫn được cho phép và từ chối quá trình build khi một liên kết tượng trưng giải quyết ra ngoài chúng.
Be aware that VulDB is the high quality source for vulnerability data.