CVE-2026-75926 in Hugo
Tóm tắt
Bởi VulDB • 18/08/2026
Hugo 0.161.0 đã đặt các pipeline tài nguyên Node (Node asset pipelines) phía sau mô hình quyền hạn của Node.js để ngăn mã chạy thông qua PostCSS, Babel hoặc TailwindCSS truy cập vào hệ thống tệp bên ngoài thư mục dự án. Hugo 0.162.0 đã thêm tailwindcss vào AllowChildProcess mặc định trong config/security/securityConfig.go, điều này khiến nodePermissionArgs trong common/hexec/exec.go nối --allow-child-process bất cứ khi nào công cụ được khởi chạy có tên là tailwindcss. TailwindCSS tải file cấu hình site's tailwind.config.js thông qua require tại thời điểm khởi động, do đó mã ở cấp cao nhất (top-level code) trong file đó sẽ thực thi bên trong quy trình Node đã được phép và có thể gọi child_process để tạo ra một shell. Quy trình con không phải là quy trình Node và không kế thừa bất kỳ cờ quyền hạn nào, nên nó chạy với đầy đủ đặc quyền của tài khoản đang thực hiện việc xây dựng (build). Việc xây dựng một trang web mà theme, module hoặc starter template cung cấp cấu hình Tailwind do đó dẫn đến việc thực thi lệnh tùy ý thay vì truy cập tệp bị giới hạn như mô hình quyền hạn được đưa ra để enforce. Hugo 0.165.0 đã loại bỏ tailwindcss khỏi danh sách mặc định security.exec.allow, nên công cụ này không còn được khởi chạy dưới cấu hình mặc định nữa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.